配置 PingOne 身份 SSO

本文解释了如何将 PingOne 配置为用户的单点登录（SSO）提供商。

SSO 依赖于来自 Cato 和您的 IdP 的加密令牌，以验证用户已认证并被允许连接到网络。有关更多详细信息，请参见与 Cato 的用户 SSO 认证。

注意： 请联系 feature-releases@catonetworks.com 获取有关启用和使用此功能的更多信息。

概述

将 PingOne 配置为 SSO 提供商可简化认证并提升用户体验。当您启用账户的 SSO 时，用户可以通过 SSO 凭证登录客户端，无需使用一套不同的专用凭证。

按照以下步骤配置 PingOne 作为 SSO 提供商：

在 PingOne 控制台中创建应用程序，并识别以下值以输入 CMA：

要创建应用程序：

登录您的 PingOne 控制台。
在所需环境中导航到 Applications > Applications。
点击“+”符号以创建新应用程序。
选择一个 应用程序名称，在 应用程序类型 下选择 OIDC Web App，然后点击保存。
点击您创建的应用程序，在配置标签页上，点击铅笔图标。
请配置以下内容：
- 响应类型： 检查代码。
- 授权类型： 检查 授权代码，并在PKCE 执行下拉选项中选择可选。
- 添加以下 重定向 URI：
点击保存。
导航到 属性映射标签页并点击铅笔图标。
点击添加，并添加一个邮箱属性，使用 PingOne 映射 电子邮件地址。
点击保存。
在概览标签页上，复制并保存 OIDC 发现端点 URL，以便输入到 CMA。
在配置标签页上，复制并保存 客户端 ID 和 客户密钥，以便输入到 CMA。

在 CMA 中，输入前一步中创建的 PingOne 应用程序的详细信息：

要配置 PingOne 作为 SSO 提供商：

您可以选择允许用户、Cato 管理应用程序管理员或两者都使用 PingOne 进行 SSO 身份验证。

您还可以配置 Cato 认证令牌的有效期。 令牌有效性 设置定义了用户保持认证状态的时间，以天或小时为单位。已登录的用户在您定义的天数或小时数（自上次登录以来）达到时必须重新认证。

总是提示 选项意味着用户必须始终认证客户端。

要配置账户中 PingOne 的使用方式：

在 访问 > 单点登录 页面上，定义哪些用户可以使用 SSO 认证，并在必要时定义 令牌有效性、Cookie 类型和持续时间设置。
点击保存