Configurare SCIM con Okta
Puoi configurare la gestione degli utenti tramite Okta, eseguire il provisioning dei gruppi e assegnare i ruoli del sito di Tableau Cloud. Se non hai ancora familiarità con i ruoli del sito Tableau e le capacità che ciascuno di essi consente, vedi Impostare i ruoli sul sito degli utenti.
Fase 1. Completare le operazioni preliminari
La funzionalità SCIM richiede di configurare il sito in modo da supportare l’accesso Single Sign-On (SSO) SAML.
Completa le seguenti sezioni in Configurare SAML con Okta:
Dopo aver eseguito le operazioni descritte in queste due sezioni, puoi accedere sia alla console di amministrazione di Okta che a Tableau Cloud, con le seguenti pagine visualizzate:
In Tableau Cloud, la pagina Impostazioni > Autenticazione.
Nella console di amministrazione di Okta, Applicazioni > Applicazioni > Tableau Cloud > Provisioning.
Fase 2. Abilitare il supporto SCIM
Per abilitare l’assistenza SCIM con Okta, procedi come segue. Vedi anche Note e limitazioni per l’assistenza SCIM con Azure Active Directory nella sezione seguente.
- Accedi al tuo sito Tableau Cloud in qualità di amministratore e seleziona Impostazioni > Autenticazione.
Esegui queste operazioni:
Nella pagina Autenticazione seleziona la casella di controllo Abilita SCIM in Provisioning automatico e sincronizzazione dei gruppi (SCIM),.
Questo popola l’URL di base e le caselle Segreto con i valori che userai nella configurazione SCIM dell’IdP.
Importante: il token del segreto viene visualizzato solo subito dopo che è stato generato. Se lo perdi prima di poterlo applicare al tuo IdP, seleziona Genera nuovo segreto. Inoltre, il token del segreto è legato all’account utente di Tableau Cloud dell’amministratore del sito che abilita il supporto SCIM. Se il ruolo sul sito di tale utente cambia o se l’utente viene rimosso dal sito, il token del segreto non è più valido e un altro amministratore del sito deve generare un nuovo token del segreto e applicarlo al tuo IdP.
Copia il valore del token segreto.
Nella console di amministrazione di Okta procedi come segue:
Dal riquadro di sinistra seleziona Applicazione > Applicazione, fai clic sull’applicazione Tableau Cloud, quindi fai clic sulla scheda Provisioning.
Fai clic sul pulsante Abilita integrazione API.
Seleziona la casella di controllo Abilita integrazione API, quindi fai clic su Salva.
Esegui queste operazioni:
Per il Token di API, incolla il token segreto SCIM Tableau Cloud copiato nella fase precedente.
Per URL di base, copia e incolla l’URL di base mostrata nelle Tableau Cloud impostazioni SCIM.
Fai clic sul pulsante Testa credenziali API per verificare che la configurazione sia stata eseguita correttamente. Se la configurazione è stata eseguita senza errori, verrà visualizzato il messaggio “Tableau Cloud è stato verificato correttamente”.
Al termine, fai clic su Salva.
Fase 3. Assegnare utenti e gruppi a Tableau
In Okta devi assegnare utenti e gruppi all’applicazione Tableau in modo da consentire il provisioning degli utenti in Tableau.
Nota: Okta consiglia di utilizzare un gruppo separato per l’assegnazione e per il gruppo push. Per maggiori informazioni, consulta About Group Push(Il collegamento viene aperto in una nuova finestra) nella documentazione di Okta.
Dal riquadro di sinistra seleziona Applicazione > Applicazione, fai clic sull’applicazione Tableau Cloud, quindi fai clic sulla scheda Assegnazioni.
Fai clic sul menu a discesa Assegna, quindi seleziona Assegna a utenti o Assegna a gruppi.
Esegui queste operazioni:
Seleziona l’utente o il gruppo pertinente.
Seleziona il ruolo sul sito di cui eseguire il provisioning per gli utenti in Tableau. Le opzioni disponibili sono:
Senza licenza
Viewer
Explorer
Explorer (autorizzato a pubblicare)
Creator
Explorer amministratore sito
Creator amministratore sito
Al termine, fai clic sul pulsante Salva e torna indietro.
Ripeti le fasi 3-4 a seconda delle esigenze, quindi fai clic sul pulsante Fine.
Fase 4. Abilitare il provisioning dei gruppi
Okta ti consente di eseguire il push dei gruppi esistenti e delle relative appartenenze in Tableau Cloud. Una volta che è stato eseguito il push di un gruppo, puoi gestire l’appartenenza al gruppo in Okta per aggiornare automaticamente il gruppo corrispondente in Tableau Cloud. Prima di eseguire questa procedura, è consigliabile consultare gli argomenti Prerequisiti per il push dei gruppi(Il collegamento viene aperto in una nuova finestra) (in inglese) e Informazioni sul push dei gruppi(Il collegamento viene aperto in una nuova finestra) (in inglese) nella documentazione di Okta.
Importante: dopo aver abilitato SCIM, gli utenti e i relativi attributi devono essere gestiti tramite l’IdP. Le modifiche apportate direttamente all’interno di Tableau Cloud possono causare comportamenti imprevisti e valori sovrascritti.
Le seguenti fasi partono dal punto della sezione precedente in cui ti trovavi e presuppongono che tu abbia effettuato l’accesso alla console di amministrazione Okta.
Dal riquadro di sinistra, seleziona Applicazione > Applicazione, fai clic sull’applicazione Tableau Cloud, quindi fai clic sulla scheda Push gruppi.
Fai clic sul pulsante Push gruppi, quindi seleziona una delle seguenti opzioni dall’elenco a discesa.
Trova gruppi per nome: seleziona questa opzione per cercare i gruppi per nome.
Trova gruppi per regola: seleziona questa opzione per creare una regola di ricerca che esegua il push di tutti i gruppi che corrispondono alla regola.
(Facoltativo) Se esegui il push di più gruppi, fai clic sul pulsante Salva e aggiungi un altro, quindi ripeti la fase precedente.
- Al termine, fai clic su Salva.
Puoi disattivare il push dei gruppi, scollegare i gruppi con push o eseguire immediatamente il push dell’appartenenza al gruppo facendo clic su Attivo o Inattivo nella colonna Stato push. Per eliminare, disattivare o attivare più gruppi, fai clic su Modifica in blocco. Per maggiori informazioni, consulta Enable Group Push(Il collegamento viene aperto in una nuova finestra) nella documentazione di Okta.
Note per il supporto di SCIM con Okta
Nelle impostazioni dell’assegnazione utente Okta, i valori per Nome utentee e-mail primaria devono essere identici.
Devi aggiungere un’applicazione separata Okta di Tableau Cloud per ogni sito che desideri gestire con SCIM.
Se desideri effettuare la migrazione di un sito, sarà necessario riconfigurare il provisioning SCIM per il nuovo sito.
Quando esegui il provisioning dei nuovi utenti, gli attributi di nome e cognome in Okta non sono sincronizzati con Tableau Cloud. I nuovi utenti devono impostare questi campi quando accedono per la prima volta a Tableau Cloud.
Quando viene annullata l’assegnazione di un utente all’applicazione Tableau Cloud in Okta o l’utente viene disattivato o eliminato completamente da Okta, l’utente viene convertito in un ruolo sul sito Senza licenza in Tableau Cloud. Se l’utente è proprietario di contenuti, devi riassegnare la proprietà di tali risorse di contenuto prima di poter eliminare manualmente l’utente in Tableau Cloud.
Puoi impostare un ruolo del sito per l’utente (come Creator, Explorer o Viewer) in Okta a livello di utente o di gruppo. Si consiglia di assegnare il ruolo del sito a livello di gruppo. Se all’utente viene assegnato direttamente un ruolo del sito, questo sovrascriverà qualsiasi impostazione del gruppo.
Un utente può essere membro di molti gruppi. I gruppi possono avere diversi ruoli del sito. Se a un utente viene assegnato un gruppo con diversi ruoli del sito, riceverà quello con il maggior numero di autorizzazioni in Tableau Cloud. Ad esempio, scegliendo i ruoli Viewer e Creator, Tableau assegnerà il ruolo del sito Creator.
I ruoli del sito sono elencati di seguito, ordinati da quello con il maggior numero di autorizzazioni a quello con il minor numero:
Creator amministratore sito
Explorer amministratore sito
Creator
Explorer (autorizzato a pubblicare)
Explorer
Viewer
Puoi aggiornare l’attributo del ruolo del sito per un utente in Okta e questo cambiamento si propagherà in Tableau Cloud. Altri attributi, come il nome utente e l’e-mail principale, non possono essere aggiornati. Per modificare questi attributi rimuovi l’utente, modifica l’attributo e quindi aggiungi nuovamente l’utente.
A partire da febbraio 2024 (Tableau 2023.3), è supportato l’utilizzo di SCIM con l’opzione Concedi licenza all’accesso. Concedi licenza all’accesso richiede l’abilitazione manuale dell’opzione per un gruppo e la selezione del ruolo minimo sul sito per gli utenti che sono membri del gruppo in Tableau Cloud. Non è possibile impostare un gruppo con l’attributo Concedi licenza all’accesso in Okta, ma puoi impostare l’attributo per il gruppo di cui hai effettuato il provisioning da Okta in Tableau Cloud.