上個月，我們正式推出了 Logto 的單一登入（SSO）功能。此功能允許你透過 Logto 將你的應用程式與任何支援 OpenID Connect（OIDC）和 SAML 協議的 SSO 供應商整合。除了通用的 OIDC 和 SAML SSO 連接器外，我們還提供了一些內建的企業 SSO 連接器，包括 Okta、Azure AD 和 Google Workspace。在本教程中，我們將示範如何在幾分鐘內將你的 Logto 應用程式與 Okta SSO 整合。 ## 先決條件在開始之前，你需要擁有一個 Okta 帳號。如果你沒有，你可以在[這裡](https://developer.okta.com/signup/)註冊一個免費的 Okta 開發者帳號。當然，你也需要擁有一個 Logto 帳號。如果你沒有，非常歡迎你註冊一個 Logto 帳號。Logto 對個人使用是免費的。所有的功能對於免費開發租戶都是可用的，包括 SSO 功能。我們還需要一個良好的 Logto 應用程式集成。如果你沒有，請按照[集成指南](https://docs.logto.io/docs/recipes/integrate-logto/)來創建一個 Logto 應用程式。 ## 在 Logto 中創建一個新的 Okta SSO 連接器 1. 訪問你的 [Logto Cloud Console](https://cloud.logto.io) 並導航到 **企業 SSO** 頁面。 ![Logto Cloud Console](https://uploads.strapi.logto.io/1/enterprise_sso_2d489f2958.webp) 2. 點擊 **新增企業 SSO** 按鈕並選擇 **Okta** 作為 SSO 供應商。 okta 連接器

在我們進行下一步之前，我們需要從 Okta 端收集一些資訊。 ## 建立一個 Okta 應用程式 1. 訪問 Okta 管理門戶並登入管理員帳號。 2. 導航到 **應用程式** 標籤，所有的應用程式都會列在這裡。 3. 點擊左上方的 **新增應用程式** 按鈕以啟動一個新應用程式的創建會話。 4. 選擇 **OIDC - OpenID Connect** 作為登入方法，並選擇 **網頁應用程式** 作為應用程式類型。 ![創建 Okta 應用程式](https://uploads.strapi.logto.io/1/create_application_d8a3828d98.webp) 5. 點擊 **下一步** 按鈕以進行到下一步。 ## 設置 Okta 應用程式 1. 填寫應用程式一般資訊。 | 欄位名稱 | 描述 | | -------- | -------------------------------------------------------------------------------------------------------------------------------------------- | | 名稱 | 應用程式的名稱。 | | 標誌 | 應用程式的標誌。 | | 授權類型 | 應用程式的授權類型。Logto 客戶端將代表用戶觸發一個 SSO 流程，使用默認的 **授權碼** 授權類型。 | ![應用程式設置](https://uploads.strapi.logto.io/1/application_settings_498fed2a88.webp) 2. 填寫應用程式的 **登入重定向 URI**。這些 URI 用於在 SSO 流程完成後將用戶重定向到 Logto 應用程式。在 Logto 的 Okta SSO 連接器頁面底部可以找到重定向 URI 值。 ![重定向 URI](https://uploads.strapi.logto.io/1/redirect_uri_431aa27fc7.webp) 3. 分配用戶到應用程式。Okta 提供一些方法來控制應用程式訪問權限。你可以將 Okta 組織中的所有用戶分配到應用程式，或者將應用程式分配到特定組。 ![分配用戶](https://uploads.strapi.logto.io/1/assign_users_e6e1d99968.webp) 4. 點擊 **保存** 按鈕以完成應用程式的創建。 ## 在 Logto 中配置 Okta SSO 連接器 1. 從 Okta 應用程式頁面複製 **客戶端 ID** 和 **客戶端密鑰**，並將它們粘貼到 Logto Okta SSO 連接器頁面。 ![客戶端 ID 和客戶端密鑰](https://uploads.strapi.logto.io/1/client_credentials_68b35fdf49.webp) 2. 複製你的 Okta 組織 URL 並將其粘貼到 Logto Okta SSO 連接器頁面作為 **發佈者 URL**。你可以在 Okta 管理門戶的右上角查看組織 URL。

3. 可選：你可以使用 `Scope` 欄位為你的 OAuth 請求添加額外的範圍。這將允許你從 Okta OAuth 伺服器請求更多資訊。請參閱 [Okta 文件](https://developer.okta.com/docs/reference/api/oidc/#scopes) 了解更多關於可用範圍的詳細資訊。無論自訂範圍設置如何，Logto 將始終將 `openid`、`profile` 和 `email` 範圍發送給 IdP。這是為了確保 Logto 能夠正確地檢索用戶的身份資訊和電子郵件地址。 4. 導航到 **SSO 體驗** 標籤，填寫 **企業電子郵件域名** 欄位。這會將 SSO 連接器作為這些用戶的身份驗證方法啟用。例如，如果你填寫 `logto.io` 作為企業電子郵件域名，所有電子郵件地址以 `@logto.io` 結尾的用戶將被限制使用 Okta SSO 連接器登入 Logto 應用程式。 ![SSO 體驗](https://uploads.strapi.logto.io/1/email_domain_c9ed10e8a5.webp) ## 啟用 Logto 登入體驗中的 SSO 1. 導航到 **登入體驗** 頁面。 2. 點擊 **註冊和登入** 標籤。 3. 向下滾動到 **高級選項** 部分，並啟用 **企業 SSO** 切換開關。 ![啟用 SSO](https://uploads.strapi.logto.io/1/sie_config_14ed0d2a3f.webp) ## 測試 SSO 整合使用登入體驗即時預覽來測試 SSO 整合。你可以在 **登入體驗預覽** 部分的右上角找到即時預覽按鈕。成功的 SSO 整合將用戶重定向到 Okta 登入頁面。當用戶成功登入後，用戶將被重定向回 Logto 的演示應用程式。