So richten Sie die Vonage Protection Suite für Okta ein

Einführung

Wenn ein Benutzer seine Identität in Okta verifizieren muss, generiert Okta ein Einmalpasswort (OTP). Okta sendet das OTP jedoch nicht direkt. Stattdessen verlässt es sich auf externe Anbieter, um die OTPs an die Benutzer zu liefern. Die Vonage Protection Suite für Okta erfüllt diesen Zweck, indem es einen verwalteten Plug-and-Play-Konnektor für die Bereitstellung von SMS- und Sprach-OTPs bereitstellt. Er lässt sich über Telephony Inline Hooks direkt in Ihre Okta Identity Engine integrieren und liefert OTPs über Vonage Verify per SMS oder Sprachanruf. Der Konnektor baut auf Vonage Cloud Runtime (VCR) auf.

Unterstützte Okta-Plattformen

Die Vonage Protection Suite für Okta lässt sich über den Okta Telephony Inline Hook integrieren, der in der Okta Workforce Identity Cloud verfügbar ist und sowohl die Okta Identity Engine (OIE) als auch die alte Classic Engine umfasst. Auth0 (Okta Customer Identity Cloud) wird in dieser Version nicht unterstützt. Auth0 verwendet ein anderes Erweiterungsmodell (Actions/custom credential providers) als Telephony Inline Hook und erfordert eine separate Integration.

Zweischichtiges Modell zur Betrugsaufklärung

Die Vonage Protection Suite für Okta verwendet ein zweischichtiges Betrugsaufklärungsmodell:

• Identity Insights Überprüfung der Pre-OTP Numbers (fakultativ): Überprüft Nummern anhand von Betreiberdatenbanken (Gültigkeit, Betreiber) und blockiert Betrug, bevor die OTP-Zustellung eingeleitet wird. Dies ist eine passive Intelligenzschicht, da sie keine Aktion vom Endbenutzer erfordert.
• Layer 2 Betrugsabwehr während OTP: SMS-Pumpschutz, geografische Berechtigungen, Geschwindigkeitskontrollen und Mengenbegrenzung.

In dieser Anleitung werden Sie Ihren Okta-Tenant mit Vonage Verify verbinden, indem Sie die Vonage Protection Suite für OktaDamit wird sichergestellt, dass OTPs per SMS oder Sprache zugestellt werden.

Anschluss Fluss

Das folgende Diagramm zeigt, wie der Konnektor zwischen Okta und Vonage Verify angeordnet ist:

Voraussetzungen

Bevor Sie beginnen, vergewissern Sie sich, dass Sie die folgenden Informationen haben:

• Ein aktiver Okta-Mandant mit Okta Identity Engine (OIE).
• Telefonauthentifikator in Okta aktiviert (Okta Admin-Konsole > Sicherheit > Authentifikatoren > Einrichtung > Telefon).
• Admin-Zugang zur Okta Admin-Konsole zur Konfiguration von Inline-Hooks und Event-Hooks.
• Ein Vonage API-Konto (können Sie sich kostenlos anmelden) zusammen mit einem API-Schlüssel (Sie finden diese Anmeldedaten in Ihrer API-Einstellungen innerhalb des Vonage Dashboards).
• Zugang zum Vonage Dashboard.
• Ein Vonage Cloud Runtime Advanced-Abonnement. Wenn Sie noch keins haben, wenden Sie sich an Ihren Vonage Customer Success Associate (CSA), um es zu aktivieren.

Bereitstellen des Connectors auf Vonage Cloud Runtime

1. Anmelden bei Vonage Cloud Runtime und klicken Sie auf das Vonage Protection Suite für Okta Kacheln.
2. Wählen Sie im Menü auf der rechten Seite die Option API-Schlüssel für den Sie den Connector bereitstellen möchten. Wenn Ihr Account nur einen API-Schlüssel hat, wird dieser Schritt automatisch übersprungen.
3. Klicken Sie auf Eine neue Instanz bereitstellen.

4. Wählen Sie im Feld Konfigurationstyp des Anschlusses Standard und klicken Sie Weiter.

5. Füllen Sie die Parameter aus:
   • Region: Region, in der Ihre Einrichtung gehostet werden soll.
   • Name der Instanz: Eindeutiger Name für Ihre Instanz.
   • Vonage Numbers (optional): Diese Nummer dient als SMS-Absenderkennung und muss im E.164-Format sein und nur aus Ziffern bestehen (eine internationale Nummer ohne "+"-Zeichen). Wenn diese Nummer nicht konfiguriert ist, wird stattdessen der unten angegebene Markenname verwendet. Beachten Sie, dass dieser Wert nicht für Sprachanrufe gilt, da die Anrufernummer von Vonage Verify zufällig ausgewählt wird.
   • Markenname (obligatorisch): In der OTP-Nachricht wird dieser Markenname in der SMS verwendet. Dieser Wert wird bei Sprachanrufen ignoriert. Stattdessen wird die Anrufernummer von Vonage Verify nach dem Zufallsprinzip als für die Zielregion geeignet ausgewählt.
   • Voice Call Fallback (obligatorisch): Wenn diese Option aktiviert ist, versucht der Connector automatisch, einen Sprachanruf zu tätigen, wenn die SMS-Zustellung fehlschlägt.

6. Klicken Sie auf Weiter um die Instanz bereitzustellen.

Konfigurieren Sie den Connector

Starten Sie die Admin-Anwendung

Nach der Bereitstellung der Instanz starten Sie die Admin-Anwendung des Connectors. Sie ermöglicht es Ihnen, Sicherheitsrichtlinien zu konfigurieren und Authentifizierungs-Tokens zu generieren. Führen Sie dazu die folgenden Schritte aus:

1. Wählen Sie die zuvor erstellte Instanz aus und klicken Sie auf die Schaltfläche Start Taste.

2. Authentifizieren Sie sich mit den Vonage-Anmeldeinformationen, indem Sie auf die Schaltfläche Identität mit Vonage verifizieren Taste.

Überprüfung der Registerkarte Dashboard

Nachdem Sie die Admin-Anwendung des Connectors gestartet haben, werden Sie zur Dashboard Registerkarte. Sie bietet Echtzeittransparenz über die Bereitstellung von OTPs und die Authentifizierungsaktivitäten.

Die Dashboard Die Registerkarte enthält die folgenden Daten:

• Abschnitt Zähler präsentiert die folgenden Metriken:
  • SMS insgesamt: Die Gesamtzahl der SMS-Zustellversuche (erfolgreich und erfolglos).
  • SMS-Erfolg: Die Anzahl der erfolgreich abgeschlossenen SMS-Versendungen.
  • SMS blockiert: Die Anzahl der SMS-Zustellungen, die von Identity Insights oder Fraud Defender blockiert wurden.
  • Total Stimme: Die Gesamtzahl der Sprachübermittlungsversuche (sowohl erfolgreiche als auch erfolglose).
  • Stimme Erfolg: Die Gesamtzahl der Sprachübermittlungen, die erfolgreich abgeschlossen wurden.
  • Gesperrte Stimme: Die Anzahl der blockierten Sprachzustellungen.
• Jüngste OTP-Aktivitäten zeigt die letzten 10 OTP-Zustellungsversuche für alle Token an:
  • Zeitstempel: Wann der Zustellungsversuch unternommen wurde.
  • Reiseziel: Die maskierte Rufnummer.
  • Kanal: SMS/SPRACHE.
  • Status: SUCCESS, FAILED, oder FLAGGED (gelb, für Flag-and-Deliver).
  • Beschreibung: Klicken Sie auf das Augensymbol, um den vollständigen Grund für das Scheitern oder die Markierung zu sehen.
  • Latenzzeit: Dauer bis zum Abschluss der Zustellung in Millisekunden.
  • Token: Der verkürzte Token-Bezeichner.
• Aktuelle Autorenereignisse zeigt die letzten 10 Authentifizierungsereignisse, die von Okta bezogen wurden:
  • Zeitstempel: Zeigt an, wann das Ereignis veröffentlicht wurde
  • Token: Der verkürzte Bezeichner für das Token.
  • Veranstaltung: Der Typ des Okta-Ereignisses (z.B., user.authentication.auth_via_mfa).
  • Faktor: Der verwendete Authentifizierungsfaktor (z. B. SMS_FACTOR, CONVERSION).
  • Ergebnis: ERFOLG, Mißerfolg oder UNBEKANNT.
  • Benutzer: Die Okta-Akteurs-ID.
  • Anfrage: Die mit der Authentifizierungsanfrage verbundene ID.
• Token-Liste: Das Dashboard zeigt alle erstellten Token zusammen mit ihrem aktuellen Status an:
  • Aktiv: Das Token ist derzeit gültig und wird verwendet.
  • Karenzzeit: Ein neueres Token hat dieses Token abgelöst, und beide Token funktionieren für eine Übergangszeit von 24 Stunden gleichzeitig.
  • Abgelaufen: Das Token hat sein Verfallsdatum überschritten.
  • Widerrufen: Der Token wurde manuell deaktiviert und ist nicht mehr verwendbar.
• Drehen eines Tokens erstellt einen neuen Token, der die gleichen Sicherheitsansprüche wie das Original besitzt. Der ursprüngliche Token tritt in eine 24-stündige Schonfrist ein, in der beide Token akzeptabel sind. Verwenden Sie die Token-Rotation, um die Anmeldeinformationen regelmäßig zu aktualisieren, ohne dass es zu einer Dienstunterbrechung kommt.
• Widerruf eines Tokens wird es sofort deaktiviert. Diese Maßnahme sollte ergriffen werden, wenn ein Token kompromittiert wurde oder nicht mehr benötigt wird. Der Widerruf hat sofortige Wirkung und kann nicht rückgängig gemacht werden.

Registerkarte "Token generieren

Navigieren Sie nun zum Token erstellen auf der Sie Sicherheitsrichtlinien konfigurieren und ein Token erzeugen können. Dieses Token dient zur Authentifizierung der Kommunikation zwischen Okta und dem Connector. Außerdem kodiert es die Sicherheitsrichtlinien, die für jede OTP-Zustellung gelten, die mit diesem Token durchgeführt wird.

Schicht 1: Identity Insights Überprüfung von Numbers vor dem OPP (fakultativ)

Das zweistufige Sicherheitsmodell des Connectors beginnt mit der optionalen Identity Insights Pre-OTP Numbers Verification.

Einblicke in die Identität ist eine Vonage-API, die Ihnen Echtzeit-Zugang zu Datenbanken von Mobilfunkbetreibern bietet. Sie hilft Ihnen, den Risikograd einer Telefonnummer zu bewerten. Im Konnektor fungiert sie als Screening-Tool, bevor ein OTP gesendet wird. Der Konnektor verwendet die Ergebnisse dieser Prüfungen, die Sie nach Belieben einrichten können.

1. Zur Aktivierung der Einblicke in die Identität Funktionalität, setzen Sie die Umschaltfunktion auf ON.
2. Wählen Sie die Kontrollen aus, die Sie erzwingen wollen:
   • Numbers Format & Gültigkeit (kostenlos): Bestätigt, ob es sich bei der Nummer um eine gültige Mobilfunknummer handelt, und markiert automatisch VoIP- und virtuelle Numbers.
   • Original Carrier Lookup (wird pro Anfrage berechnet): Identifiziert das Netz und den Leitungstyp, der bei der Erstvergabe dieser Nummer zugewiesen wurde. Nützlich für die Überprüfung von Nummern, die von Anfang an als VoIP registriert wurden. Eine später auf VoIP portierte Mobilfunknummer wird nicht erfasst.
     • Netzwerktyp-Filter: Numbers in nicht ausgewählten Netztypen werden markiert.
   • Abfrage des aktuellen Netzbetreibers (pro Anfrage berechnet): Identifiziert das Netz und die Art der aktiven Leitung, die diese Nummer derzeit bedient, einschließlich aller Änderungen durch Portierung.
3. Geografische und Kanal-Filter: Diese Filter schränken die OTP-Zustellung auf der Grundlage der geografischen oder Netzmerkmale der Telefonnummer ein.
   • Land Erlaubnisliste: Geben Sie ISO 3166-1 Alpha-2-Ländercodes an (z. B. US, GB, DE). Nur Numbers, die mit diesen Ländern verbunden sind, sind zulässig. Lassen Sie es leer, um alle Länder zuzulassen.
4. Legen Sie fest, welche Maßnahmen zu ergreifen sind, wenn eine Zielnummer bei der Überprüfung markiert wird:
   • OTP sperren: OTP wurde nicht zugestellt. Sie können den Grund für das Scheitern im Fenster Registerkarte Dashboard > Aktuelle OTP-Aktivität > Beschreibung.
   • Flagge & Lieferung: Das OTP wird zugestellt, aber auf dem Dashboard zur weiteren Überprüfung gelb markiert. Verwenden Sie diese Option, wenn Sie Sichtbarkeit wünschen, ohne potenziell legitime Benutzer zu blockieren. Sie können den Status im Fenster Registerkarte Dashboard > Aktuelle OTP-Aktivität > Status.
   • Nur Protokoll: Das Prüfergebnis wird protokolliert, aber es werden keine weiteren Maßnahmen ergriffen. Es wird keine Markierung angebracht. Nützlich bei der anfänglichen Einführung, um die Kennzeichnungsrate zu verstehen, bevor eine Sperr- oder Kennzeichnungsrichtlinie festgelegt wird. Das OTP wird wie üblich gesendet. Es werden keine Informationen in der Dashboard tab.

Schicht 2: Betrugsabwehr während OTP

Wenn eine Numbers die Layer-1-Prüfungen erfolgreich durchläuft (oder wenn Identity Insights deaktiviert ist), wird das OTP zur Zustellung an Vonage Verify gesendet. In diesem Stadium übernimmt Fraud Defender als zusätzliche Schutzschicht.

Betrugsverteidiger schützt vor SMS-Pumping, künstlich aufgeblähtem Datenverkehr (AIT) und Traffic-Burst-Angriffen. Zur Aktivierung dieser Funktion ist keine Aktion erforderlich. Sie wird automatisch auf den gesamten OTP-Verkehr angewendet, der über Vonage Verify verarbeitet wird.

Stufenauswahl

Im Konfigurationsfenster des Connectors wird Fraud Defender Advanced als Eingeschlossen, und ist ohne zusätzliche Kosten für den gesamten Verify-Verkehr verfügbar. Wenn Sie Fraud Defender Premium benötigen, wenden Sie sich an Ihren Vonage Account Manager, um es zu aktivieren.

Satzgrenze

Legen Sie eine maximale Anzahl von OTP-Anfragen pro Telefonnummer innerhalb eines 10-Minuten-Fensters fest. Der Standardwert ist 5 Anfragen. Dies schützt vor wiederholten OTP-Anfragen, die auf dieselbe Nummer abzielen. Diese Funktion kann deaktiviert werden, wenn sie nicht benötigt wird.

Lieferung

Markenname: Der Markenname, der den Empfängern in der OTP-Nachricht angezeigt wird. Hat Vorrang vor dem auf dem Server konfigurierten globalen Markennamen.
SMS to Voice Fallback: Automatische Wiederholungsversuche per Sprachanruf, wenn die SMS-Zustellung fehlschlägt. Diese Funktion kann deaktiviert werden, wenn sie nicht benötigt wird.

Token Verfall

Wählen Sie die Gültigkeitsdauer für das Token, das Sie erstellen möchten: 24 Stunden, 7 Tage, 30 Tage, 90 Tage (Standard) oder Nie. Kürzere Gültigkeitsdauern erhöhen die Sicherheit, erfordern aber eine häufigere Rotation. Das Token bettet Ihr aktuelles Ländernetz und die Telefonnummernkonfiguration ein.

Aufzeichnung der generierten Token-Details

Sobald die Sicherheitsrichtlinien eingerichtet sind und das Token erstellt wurde, sollten Sie die generierten Token-Details aufzeichnen. Die Token-Details werden nicht mehr angezeigt, und diese Informationen sind für die Okta-Einrichtung im Schritt "Okta konfigurieren" wichtig:

• Telefonie-Webhook-URL
• Ereignis-Webhook-URL
• Auth Header Name
• Token Geheimnis

Okta konfigurieren

Nach der Bereitstellung des Konnektors und der Generierung des Tokens ist es an der Zeit, den Telefonie-Inline-Haken und den Ereignis-Haken in der Okta Admin Console mit Webhook-URLs und Token einzurichten.

Konfigurieren Sie den Inline-Haken für die Telefonie

Führen Sie nun die folgenden Schritte aus, um den Inline-Haken für die Telefonie zu konfigurieren:

1. Melden Sie sich bei Ihrer Okta Admin-Konsole an.
2. Navigieren Sie zu Arbeitsablauf > Inline-Haken. Klicken Sie auf die Inline-Haken hinzufügenund wählen Sie dann Telefonie.

3. Füllen Sie die Hakenangaben aus:

• Name: Geben Sie einen Namen ein (z. B. "Vonage OTP").
• URL: Fügen Sie die Telefonie-Webhook-URL aus den generierten Token-Details ein.
• Authentifizierungsfeld: Fügen Sie den Auth Header Name aus den generierten Token-Details ein.
• Authentifizierungsgeheimnis: Fügen Sie das Token-Geheimnis aus den generierten Token-Details ein.

4. Klicken Sie auf Speichern Sie.

Konfigurieren Sie den Ereignis-Haken

Führen Sie anschließend die folgenden Schritte aus, um den Ereignis-Haken zu konfigurieren:

1. Navigieren Sie zu Workflow > Ereignis-Haken.

2. Klicken Sie auf die Ereignis erstellen Hook.
3. Füllen Sie die Hakenangaben aus:

• Name: Geben Sie einen Namen ein (z. B. "Vonage Events").
• URL: Fügen Sie die Ereignis-Webhook-URL aus den generierten Token-Details ein.
• Authentifizierungsfeld: Fügen Sie den Auth Header Name aus den generierten Token-Details ein.
• Authentifizierungsgeheimnis: Fügen Sie das Token-Geheimnis aus den generierten Token-Details ein.

4. Die Anfragen an Abschnitt definiert die Anfragen, die Okta an den Endpunkt senden wird. Abonnieren Sie die Authentifizierung des Benutzers über MFA Veranstaltung.
5. Klicken Sie auf Speichern & Weiter.

Konnektivität verifizieren

Nun ist es an der Zeit, zu verifizieren, dass die Verbindung zwischen Okta und dem Connector aktiv ist. Dazu müssen wir bestätigen, dass beide Hooks in der Okta Admin Console den Status "Active & Verified" aufweisen:

1. Klicken Sie auf die Schaltfläche Verify im Fenster Verify der Endpunkt-Besitzerschaft das direkt nach der Erstellung des Ereignis-Hooks erscheint.

Testen Sie die Integration

Sie können die Integration mit dem in Okta integrierten Vorschau-Tool testen, indem Sie die folgenden Schritte ausführen:

1. Navigieren Sie in der Okta Admin-Konsole zu Sicherheit > Authentifikatoren > Einrichtung > Telefon um sicherzustellen, dass die Telefonauthentifizierung in Ihrem Okta aktiviert ist.
2. Führen Sie den Vorschautest durch:
   • Navigieren Sie zu Arbeitsablauf > Inline-Haken.
   • Suchen Sie den Telefonie-Inline-Haken, den Sie erstellt haben, und klicken Sie auf Aktionen > Vorschau.
   • Unter Konfigurieren der Inline-Hook-Anforderung:
     • Geben Sie die Daten eines Testbenutzers ein: data.userProfile (ein Benutzer, der ein Telefon als gültigen Authentifikator hat).
     • Wählen Sie requestType (MFA-Registrierung, MFA-Verifizierung, Entsperren des Accounts oder Zurücksetzen des Passworts).
   • Klicken Sie auf Anfrage generieren um die JSON-Nutzdaten zu erstellen.
   • Klicken Sie auf bearbeiten um die Anfrage bei Bedarf zu ändern.
   • Ersetzen Sie die Standard-Telefonnummer (9876543210) durch eine echte Mobilfunknummer im E.164-Format (z. B. +447700900000).
   • Klicken Sie auf Antwort anzeigen um den Hook auszulösen. Bei einer erfolgreichen Antwort wird der Status angezeigt: ERFOLGREICH mit der Lieferdauer.

Fehlersuche

Schnell-Checks

Bevor Sie den gesamten Datenfluss verfolgen, verifizieren Sie Folgendes:

Berechtigungsnachweise: Vergewissern Sie sich, dass die Telefonie-Webhook-URL, die Ereignis-Webhook-URL, der Auth-Header-Name und das Token-Geheimnis in Okta genau mit den Werten aus den Details der Token-Erstellung übereinstimmen.

Status des Hakens: Navigieren Sie in der Okta Admin-Konsole zu Arbeitsablauf > Inline-Haken und bestätigen Sie, dass der Haken aktiv und verifiziert ist.

Dashboard: Überprüfen Sie auf der Registerkarte Dashboard des Connectors die jüngsten OTP-Aktivitäten. Suchen Sie nach FAILED- oder FLAGGED-Ereignissen und klicken Sie auf das Beschreibungssymbol für Fehlerdetails.

Einblicke in die Identität: Wenn OTPs blockiert werden, prüfen Sie, ob Identity Insights die Zielnummer markiert. Erwägen Sie die Anpassung der Wenn Nummer gekennzeichnet ist Aktion zu Blockieren > Markieren und Zustellen oder Nur zum Testen protokollieren.

Telefon-Authentifikator: Bestätigen Sie, dass die Telefonauthentifizierung in Okta aktiviert ist: Okta Admin-Konsole > Sicherheit > Authentifikatoren > Einrichtung > Telefon.

Verfolgen Sie das Problem Schritt für Schritt

Wenn etwas nicht wie erwartet funktioniert, verfolgen Sie das Problem anhand der folgenden Schritte:

1. Okta sendet die Anfrage: Prüfen Sie die Okta Admin-Konsole > Berichte > Systemprotokoll für den Hook-Aufruf, die Ziel-URL und den Anfragestatus.
2. Der Connector verarbeitet die Anfrage: Prüfen Sie Vonage Cloud Runtime > Instanzen > Ihre Instanz > Protokolle für die eingehende Anfrage, das Identity Insights-Ergebnis und den Verify-API-Aufruf.
3. OTP geliefert: Prüfen Sie Vonage Dashboard > Nachrichtenprotokolle für Nachrichtenstatus, Kanal, Absender-ID, Fehlercodes und eventuelle Fraud-Defender-Sperren.
4. Auth-Ereignis empfangen: Prüfen Sie Connector Admin Dashboard > Aktuelle Autorisierungsereignisse für empfangenes Ereignis, Ereignistyp, Faktor, Ergebnis und Token-Übereinstimmung.
5. Umrechnung erfasst: Prüfen Sie Vonage Dashboard > Protokolle verifizieren für den umgewandelten Status, die Umwandlungsgebühr und die fehlende Umwandlung.

Connector-Fehlercodes & Identity Insights-Sub-Codes

Eine vollständige Liste der Connector-Fehlercodes und der Identity Insights-Untercodes finden Sie im Vonage Protection Suite für Okta Benutzerhandbuch.

Brauchen Sie Hilfe?

Wenn Sie das Problem mit Hilfe des obigen Abschnitts zur Fehlerbehebung nicht beheben können, wenden Sie sich an Vonage Hilfe-Center. Geben Sie bei der Übermittlung einer Anfrage Ihren API-Schlüssel (nur Account-ID, nicht geheim), die Inline-Hook-Ereignis-ID aus dem Okta-Systemprotokoll und alle relevanten Screenshots oder Protokolle an, um eine schnellere Lösung zu ermöglichen.

Weitere Lektüre

• Einblicke in die Identität
• Betrugsverteidiger
• Vonage Protection Suite für Okta Artikel (Benutzerhandbuch)
• Verify Analytics und Logs Übersicht