single-sign-on - 是否可以让 Okta 在 ServiceNow 中复制 AD 组（及其成员）？

Question

我们在 Active Directory 中有具有成员的组，在 ServiceNow 中有具有相同成员的相同组。

有计划将 Okta 用作单点登录解决方案。为此，我们可以让 Okta 从 AD 配置用户。

我们希望 Okta 也提供组并从 AD 维护其成员资格。例如：

1. 在 AD 中的组中添加或删除人员时，我们希望将这些人员从 ServiceNow 中的同一组中删除。
2. 在 AD 中添加或删除组时，我们希望在 ServiceNow 中删除相同的组。

这是否可能，如果可以，可以使用 Okta 的哪些功能来完成它？

Answer 1

在查看了 Peter Raeves 链接的文档，并在测试实例中进行了一些实验之后，似乎可以在 ServiceNow 中复制 AD 组，如下所示：

（请注意，步骤 1 和 2 可以按任意顺序完成）

1. 确保 Okta 已连接到 Active Directory。这需要安装和配置 Okta AD 代理，如此处所述。
2. 使用 SAML 连接将 Okta 连接到 ServiceNow。对于较新版本的 ServiceNow，最好不要使用 Okta ServiceNow 插件，因为该插件似乎不适用于 ServiceNow 中引入的 SSO 更改。通过单击 Okta ServiceNow 应用程序中“登录”选项卡下的“查看设置说明”，可以找到“手动”配置连接的说明。确保在 Okta ServiceNow 应用程序的“配置”选项卡下启用配置。
3. 将 ServiceNow 应用程序分配给 Active Directory 用户。这可以在 Okta ServiceNow 应用程序的“人员”选项卡下完成。这需要在第 4 步之前完成（Okta 将忽略在未分配给应用程序的组中找到的任何用户）。
4. 将所需的 Active Directory 组推送到 ServiceNow。这可以在 Okta ServiceNow 应用程序的“推送组”选项卡下完成。如果您勾选“立即推送组成员”复选框，Okta 可以在推送组时复制 ServiceNow 中的组成员。您也可以在添加组后通过单击组列表中的向下箭头并选择“立即推送”来推送成员资格。

请注意，仍必须在 ServiceNow 中维护用户角色。由于 Okta 根本不涉及角色，因此例如可以在 ServiceNow 的组级别添加它们，而不会有被 Okta 覆盖的风险。