Permissions du compte de service Okta

Avant d'ajuster les permissions dans votre Directory, vérifiez que vous comprenez la manière dont sont définies les permissions Active Directory (AD) et prévoyez comment les gérer dans votre environnement. Pour plus d'informations sur les conditions préalables requises concernant les comptes pour effectuer cette tâche, consultez la rubrique Conditions préalables pour l'intégration Active Directory.

Cette rubrique est divisée en trois parties. Elles traitent respectivement des permissions requises pour les comptes de service, des cas d'utilisation facultatifs et d'une référence.

Permissions obligatoires

À défaut de sélectionner un compte existant au préalable, le programme d'installation de l'agent Okta AD crée un nouveau compte de service Okta par défaut, intitulé OktaService. Ce compte hérite des permissions du groupe Utilisateurs du domaine. OktaService est également membre des groupes d'identité spéciale Utilisateurs authentifiés et Everyone, lorsque l'agent est en exécution. Par défaut, le groupe Utilisateurs authentifiés est membre du groupe Accès compatible avec les versions antérieures à Windows 2000. Retirer le groupe Utilisateurs authentifiés du groupe Accès compatible avec les versions antérieures à Windows 2000 risque d'entraîner des problèmes d'importation incrémentielle. Pour résoudre les problèmes d'importation incrémentielle, Okta recommande d'effectuer l'un des changements suivants :

Ajoutez le compte OktaService au groupe Accès compatible avec les versions antérieures à Windows 2000.
Vérifiez que le compte de service Okta dispose bien de l'autorisation Lire toutes les permissions pour l'ensemble des objets AD synchronisés.

L'utilitaire de gestion de l'agent Okta AD inclut également une option qui permet d'ajouter le compte OktaService au groupe Administrateurs du domaine. Sinon, vérifiez que les permissions sont définies pour les cas d'utilisation qui vous concernent. Cela évite de donner à votre compte de service les droits d'administrateur complet.

Chaque compte de service qui exécute un agent Okta AD doit disposer de ces permissions.

Permissions pour les importations avec DirSync

Version de l'accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

Vous pouvez optimiser la communication avec AD en utilisant des importations avec le contrôle DirSync d'Active Directory. Cela vous permet d'exécuter des importations incrémentielles de manière plus fiable et d'intégrer plus rapidement les modifications depuis AD. Pour utiliser les importations avec DirSync, vous devez accorder à l'agent l'autorisation de répliquer les modifications du Directory.

Pour accorder une autorisation via la console Responsable de serveur, procédez de la manière suivante :

Connectez-vous à votre console Responsable de serveur.
Sélectionnez DashboardUtilisateurs et ordinateurs Active Directory.
Faites un clic droit sur le nom de domaine et sélectionnez Propriétés.
Sélectionnez l'onglet Sécurité, puis cliquez sur Ajouter. Cet onglet ne s'affiche que si vous sélectionnez Fonctionnalités avancées dans le menu Voir.
Dans la boîte de dialogue Sélectionner l'utilisateur, un ordinateur, des comptes de service ou des groupes, sélectionnez le compte de service de l'agent Okta AD, puis cliquez sur OK.
Dans la boîte de dialogue Entrée de permissions, sélectionnez Modifier la réplication de l'annuaire, puis cliquez sur OK.

Pour accorder une autorisation via la ligne de commande, exécutez le script PowerShell suivant pour chaque domaine AD intégré. Chaque fois que vous exécuterez le script, remplacez OktaService et DOMAIN_DNS_NAME par les valeurs appropriées pour le domaine AD.

$Identity = "<DOMAIN\OktaService>" $RootDSE = [ADSI]"LDAP://<DOMAIN_DNS_NAME>/RootDSE" $DefaultNamingContext = $RootDse.defaultNamingContext $UserPrincipal = New-Object Security.Principal.NTAccount("$Identity") DSACLS "$DefaultNamingContext" /G "$($UserPrincipal):CA;Replicating Directory Changes"

Cas d'utilisation

Il s'agit des permissions nécessaires pour certains cas d'utilisation facultatifs.

Approvisionner l'utilisateur

Pour qu'un compte de service puisse approvisionner les utilisateurs, les permissions suivantes sont requises.

Autorisation Créer un objet enfant requise pour les objets utilisateur dans l'unité organisationnelle (OU) cible.
Autorisation Supprimer un objet enfant requise pour les objets utilisateur dans l'OU cible.
Droit d'accès au contrôle Réinitialiser le mot de passe requis pour les objets utilisateur dans l'OU cible.
Permissions Écriture sur une propriété requises sur les objets utilisateur dans l'OU cible pour les attributs suivants :
- mail
- userPrincipalName
- SAMaccountName
- givenName
- sn
- userAccountControl
- pwdLastSet
- lockoutTime
- cn
- name
Permissions Écriture sur une propriété requises sur les objets utilisateur dans l'OU cible pour l'ensemble des autres attributs mappés sur le profil utilisateur AD dans Okta. Les mappages sont répertoriés sous Répertoires à l'adresse https://<org>/admin/universaldirectory.