Configurer le plug-in Secure Access Monitor

Le plug-in Secure Access Monitor (SAM) est une extension Chrome gérée qui permet de surveiller les autorisations OAuth non gérées et de transférer les données collectées vers Okta ISPM.

Pourquoi et quand exécuter cette tâche

Le plug-in SAM est disponible par défaut avec une licence Okta for AI Agents. Si vous disposez uniquement de la licence ISPM Okta, contactez le Support pour accéder au plug-in.

Cette fonctionnalité n'est pas incluse dans l'offre Okta for AI Agents - Core destinée aux clients FedRAMP de niveau Modéré et Élevé, et n'est pas disponible dans les environnements Okta destinés à l'armée américaine Consultez l'article de support intitulé « Restrictions ou exceptions relatives au secteur public américain » d'Okta.

Avant de commencer

  • Votre Tenant ISPM est situé dans la même région que votre Tenant Okta. Cette fonctionnalité n'est pas activée pour l'accès interrégional.
  • Votre org est connectée à Google Chrome Enterprise. Le plug-in ne fonctionne que sur les navigateurs gérés. Consultez Intégrer Okta à Chrome Enterprise.
  • Vos navigateurs sont inscrits dans Chrome Enterprise Core. Consultez Inscrire les navigateurs Chrome gérés par le cloud. Les solutions MDM tierces seules sont insuffisantes. Sous Windows, vous avez également besoin des paramètres de registre ou MDM nécessaires.
  • Vous avez le rôle de super administrateur.
  • Vous avez accès à la console d'administration Google.
  • Vous avez un tenant Okta ISPM actif (licence ISPM ou Okta IA).
  • Vos politiques de sécurité ne bloquent pas les autorisations OAuth.

  • Sachez que le certificat client SAM interfère avec les flux de sélection manuelle des certificats (carte à puce, PIV, Device Trust hérité).

  • Si vous utilisez une solution SASE, configurez-la pour dispenser l'URL d'Okta de l'inspection TLS.

  • Vos politiques de navigateur n'épinglent pas le navigateur à un certificat client spécifique.

Procédure

  1. Connectez-vous à la console d'administration Google en tant qu'administrateur.
  2. Accédez à Navigateur Chrome > Connecteurs.
  3. Sélectionnez l'unité d'organisationnelle cible.
  4. Cliquez sur + Configuration d'un nouveau fournisseur. Si une configuration existe déjà (par exemple, Okta Device Trust), ajoutez Google CA en tant que fournisseur supplémentaire. Les deux attributs s'appliquent à la même OU.
  5. Recherchez Autorité de certification Google et cliquez sur Configurer.
  6. Cliquez sur Approvisionner.
  7. Cliquez sur Détails pour l'autorité de certification Google.
  8. Téléchargez GoogleCertificateAuthority.pem.
  • Configurer le paramètre du certificat client
    1. Connectez-vous à la console d'administration Google.
    2. Accédez à Navigateur Chrome > Paramètres.
    3. Sélectionnez l'unité d'organisationnelle appropriée.
    4. Dans l'onglet Paramètres de l'interface utilisateur et du navigateur, cliquez sur Certificats client.
    5. Dans Sélectionner automatiquement pour ces sites, saisissez le modèle suivant en remplaçant <org> : {"pattern": "https://<org>.mtls.okta.com", "filter": {"ISSUER": {"CN":"Chrome Enterprise CA"}}}. Les Preview orgs utilisent .mtls.oktapreview.com.
    6. Vérifiez à chrome://policy/ que l'entrée AutoSelectCertificateForUrls apparaît.
  • Charger l'autorité de certification dans la console des administrateurs Okta
    1. Accédez à Sécurité > Intégrations d'appareils.
    2. Cliquez sur l'onglet Autorité de certification.
    3. Cliquez sur Ajouter une autorité de certification.
    4. Pour Émettre un certificat pour, sélectionnez Plug-in Secure Access Monitor. Assurez-vous de sélectionner cette option avant de rechercher et de charger votre chaîne de certificats AC.
    5. Après avoir sélectionné le plug-in Secure Access Monitor, chargez la chaîne de certificats AC. Le fichier doit être de type .pem.
  • Installer le plug-in
    1. Connectez-vous à la console d'administration Google.
    2. Accédez à Navigateur Chrome > Applications et extensions.
    3. Cliquez sur l'onglet Utilisateurs et navigateurs.
    4. Sélectionnez votre unité organisationnelle Okta. Pour tester un sous-ensemble d'utilisateurs, créez un groupe ou un OU.
    5. Cliquez sur l'icône et sélectionnez Ajouter une application ou une extension Chrome par ID.
    6. Saisissez l'ID du plug-in SAM : galipinbbdandeicdicjbalcbpdbljjj.
    7. Cliquez sur Enregistrer.
    8. Cliquez sur l'extension Secure Access Monitor pour ouvrir ses paramètres.
    9. Remplacez Autoriser l'installation par Forcer l'installation.
    10. Dans Politique pour les extensions, saisissez le fichier JSON suivant en remplaçant <org> : { "orgUrl": { "Value": "https://<org>.okta.com" } }
    11. Cliquez sur Enregistrer.

    Que faire ensuite

    Demandez aux utilisateurs finaux de se connecter à leurs profils Chrome gérés ainsi qu'au Okta End-User Dashboard à l'aide de l'URL de l'org.

    Ensuite, vérifiez votre installation.