Verbinde Okta

Wenn dein Unternehmen mit Okta (oder einem anderen SAML-Identity-Provider) läuft, kann FortressFlag die Anmeldung vollständig an ihn abgeben — und dein Verzeichnis bestimmen lassen, wer ein Konto hat und welche Rolle. Diese Anleitung verbindet die drei Schichten in der Reihenfolge, die dich die ganze Zeit angemeldet hält: zuerst SSO, dann Provisioning, dann die Zuordnung von Gruppen zu Rollen, dann — sobald alles funktioniert — der Richtlinienschalter.

Du musst auf der FortressFlag-Seite Owner sein und auf der anderen Okta-Admin. FortressFlag spricht SAML für die Anmeldung und SCIM 2.0 für das Provisioning. (OIDC wird nicht unterstützt.)

1. Verbinde SSO

Richte unter Admin → Authentifizierung die SSO-Verbindung ein: Füge die Metadaten deines Identity-Providers ein, und FortressFlag gibt dir die zwei Werte zurück, nach denen Oktas SAML-App-Einrichtung fragt — die Entity-ID des Service-Providers (seine Metadaten-URL) und die ACS-URL.

Leg in Okta eine SAML-App mit diesen Werten an, weise dich ihr selbst zu und teste die Anmeldung: Der Anmeldebildschirm deiner Organisation bekommt einen Single-Sign-on-Pfad neben dem Passwortformular. An diesem Punkt funktioniert SSO, ist aber nicht erforderlich — die Passwortanmeldung funktioniert weiterhin, und genau dort willst du bleiben, solange du testest.

2. Schalte Provisioning (SCIM) ein

Ebenfalls unter Admin → Authentifizierung erstellst du ein SCIM-Token. Wie ein SDK-Schlüssel wird es einmal angezeigt — kopier es direkt als Bearer-Token in Oktas Provisioning-Konfiguration, und richte Okta auf deinen FortressFlag-SCIM-Endpunkt (den Pfad /scim/v2 unter deiner FortressFlag-Adresse).

Mit eingeschaltetem Provisioning legt Okta FortressFlag-Konten an und entfernt sie, wenn Leute deinem Verzeichnis beitreten und es verlassen:

• Eine provisionierte Person startet als Viewer ohne Projektzugriff — standardmäßig sicher; von dort aus teilst du zu (oder lässt die Gruppenzuordnung das tun, nächster Abschnitt).
• Deprovisioning entfernt ihren Zugriff und meldet sie ab — Offboarding in deinem Verzeichnis ist Offboarding hier, Sitzungen eingeschlossen.
• Änderungen durch das Provisioning erscheinen im Audit-Log, zugeschrieben dem Provisioning-Token — die Handlungen deines Verzeichnisses, als solche festgehalten.
• Eine Leitplanke: Provisioning kann nie den letzten Owner deiner Organisation entfernen.

Ein Hinweis, nach dem deine Rechtsabteilung fragen wird: Leute, die per Provisioning angelegt werden, haben nie ein Registrierungsformular gesehen, also akzeptiert ein Administrator die Dienstbedingungen in ihrem Namen — das Dashboard fragt danach, und die Annahme wird wie jede andere festgehalten.

3. Ordne Gruppen Rollen zu

Übertrage deine Okta-Gruppen über SCIM, und im Panel Gruppenzuordnung unter Admin → Authentifizierung legst du fest: diese Gruppe ⇒ diese Rolle: eng-leads ⇒ Admin, engineering ⇒ Developer. Von da an bestimmt die Verzeichnismitgliedschaft die FortressFlag-Rollen:

• Eine Person in mehreren zugeordneten Gruppen bekommt die ranghöchste zugeordnete Rolle.
• Die Rollen zugeordneter Mitglieder erscheinen im Dashboard als von deinem Identity-Provider verwaltet — das Rollen-Steuerelement dort ist deaktiviert, weil dein Verzeichnis es ohnehin überschreiben würde.
• Nicht zugeordnete Gruppen tun nichts, und die Zuordnung stuft nie unter Viewer herab.

4. Verlange SSO — nachdem alles funktioniert

Zurück unter Admin → Authentifizierung stellst du die Richtlinie der Organisation auf SSO um. Ab hier ist die Passwortanmeldung für alle aus: Der Identity-Provider ist die einzige Tür.

Leg diesen Schalter zuletzt um, und lies das hier zuerst: Sobald SSO erforderlich ist, erfordert auch das Rückgängigmachen eine funktionierende SSO-Anmeldung. Wenn dein Identity-Provider ausfällt, während SSO erforderlich ist — ein abgelaufenes Zertifikat, eine gelöschte App —, kann sich niemand anmelden, auch du nicht, und die Wiederherstellung ist ein Support-Gespräch statt einer Einstellungsseite. Also: Bestätige, dass die SSO-Anmeldung funktioniert, bestätige, dass eine zweite Person hineinkommt, dann verlange es. (Das Dashboard lässt dich SSO auch nicht verlangen, bevor eine Verbindung existiert, und keine Verbindung löschen, solange SSO erforderlich ist — die Leitplanken zeigen in dieselbe Richtung.)

Wie geht es weiter?

• Verlange Zwei-Faktor-Authentifizierung — die leichtere Richtlinie, falls SSO mehr ist, als du brauchst
• Rollen und Sicherheit — was diese zugeordneten Rollen gewähren
• Lade dein Team ein — der manuelle Weg, weiterhin da für externe Mitarbeiter außerhalb deines Verzeichnisses