Kiedy Okta jest dobrym wyborem
Okta sprawdza się, gdy pracownicy, kontraktorzy i admini potrzebują jednego miejsca do logowania, a firma korzysta z wielu aplikacji, z których każda ma własne hasła i własny sposób zakładania kont. Dobrym sygnałem jest też to, że onboarding i offboarding zajmują dni, bo konta trzeba zakładać i usuwać ręcznie w każdej aplikacji.
Jeśli Twoim problemem jest logowanie klientów w produkcie SaaS, potrzebujesz innej klasy rozwiązania: zobacz CIAM z Auth0 w praktyce.
Etapy wdrożenia
Analiza (discovery)
Razem z Tobą spisujemy aplikacje, źródła tożsamości i obecne sposoby logowania, żeby wiedzieć, co przenosimy najpierw i co może poczekać na kolejną fazę.
Katalog i źródło danych z HR
Ustalamy, skąd w Okcie mają pochodzić dane o użytkownikach: z systemu kadrowego, Active Directory, Entra ID albo z obu źródeł. Od tego wyboru zależy, czy zmiana w systemie HR może automatycznie uruchamiać zmiany kont.
SSO i SCIM dla aplikacji
Podłączamy aplikacje do Okty przez SSO, a jeśli aplikacja to obsługuje, także przez provisioning SCIM, dzięki czemu możesz zautomatyzować zakładanie i dezaktywację kont. Zaczynamy od aplikacji, z których korzysta najwięcej użytkowników.
MFA i polityki
Konfigurujemy w Okcie globalne polityki logowania, logowania do aplikacji i rejestracji MFA dla poszczególnych grup. Dla kont uprzywilejowanych planujemy faktory odporne na phishing, które opisujemy w poradniku MFA odporne na phishing a NIS2.
Cykl życia kont (joiner, mover, leaver)
Definiujemy reguły dla osób, które dołączają, zmieniają rolę albo odchodzą, tak aby każdy użytkownik miał tylko dostęp wynikający z jego obecnej roli, a gdy ktoś odchodzi, konto jest dezaktywowane w Okcie, sesje i tokeny unieważniane, a provisioning dezaktywuje je w podłączonych aplikacjach.
Wdrożenie dla użytkowników (cutover)
Wdrażamy zmianę grupami, a nie dla wszystkich naraz, żeby ograniczyć ryzyko i mieć czas na reakcję na zgłoszenia. Dla każdej grupy ustalamy z Tobą datę, komunikat do użytkowników i plan wycofania zmiany (rollback).
Przekazanie (handover)
Przekazujemy dokumentację i konfigurację Twojemu zespołowi IT albo ustalamy z Tobą dalsze utrzymanie. Zespół powinien wiedzieć, kto odpowiada za aplikacje, polityki i zmiany w Okcie.
Typowe błędy, na które jesteśmy uczuleni
Włączenie MFA dla całej firmy naraz.
−Zmiana trafia do wszystkich w jednym dniu, a helpdesk nie nadąża ze zgłoszeniami.
+Wdrażamy MFA grupami, zaczynając od adminów, i zostawiamy czas na poprawki polityk.
Podłączanie aplikacji bez porządku w danych o użytkownikach.
−Konta w Okcie powielają błędy z katalogu i systemu HR, więc dostęp jest przydzielany według nieaktualnych danych.
+Przed podłączeniem aplikacji sprawdzamy, które pola z systemu HR i katalogu są wiarygodne, i na nich opieramy reguły dostępu.
Brak właściciela po zakończeniu projektu.
−Po go-live nikt nie odpowiada za nowe aplikacje i zmiany polityk, a konfiguracja z czasem przestaje być spójna.
+Przed przekazaniem ustalamy właścicieli aplikacji i polityk po Twojej stronie albo umawiamy utrzymanie z nami.
Konta adminów i konta techniczne poza politykami.
−Wdrożenie obejmuje zwykłych użytkowników, a konta uprzywilejowane i serwisowe zostają bez dodatkowej ochrony.
+Konta adminów obejmujemy politykami już w pierwszej grupie pilotażowej, a konta techniczne spisujemy i przypisujemy do właścicieli.
Co przygotować przed startem
- Listę aplikacji używanych w firmie, z informacją, które z nich obsługują SSO (SAML lub OIDC) i SCIM.
- Wskazanie źródła danych o pracownikach (system kadrowy, Active Directory) i osoby, która za nie odpowiada.
- Listę grup użytkowników oraz kont uprzywilejowanych, w tym kont technicznych.
- Decyzję, kto po Twojej stronie zatwierdza polityki dostępu i zmiany w nich.
- Informację o urządzeniach użytkowników, w tym o tym, czy zarządza nimi firma.
- Helpdesk i kanał komunikacji z użytkownikami, które przyjmą zgłoszenia w czasie wdrożenia.
Utrzymanie po go-live
Po wdrożeniu konfiguracja Okty wymaga bieżącej opieki: podłączania nowych aplikacji, zmian w politykach, przeglądów po nowych wydaniach Okty i kontaktu ze wsparciem producenta, gdy pojawia się problem. Możesz prowadzić to własnym zespołem albo powierzyć nam, a zakres opisujemy na stronie Utrzymanie i wsparcie Okta.
CEO
Jan Czajkowski jest CEO i współzałożycielem Zelto, oficjalnym partnerem Okty, który pomaga organizacjom projektować, wdrażać i utrzymywać zarządzanie tożsamością i dostępem.
Więcej od Jana →Porozmawiajmy o wdrożeniu Okta
Opowiedz nam o swoich aplikacjach i obecnym sposobie logowania, a wskażemy, od czego warto zacząć. Jeśli wolisz e-mail, napisz na hello@zelto.id.