是否可以让 Okta 在 ServiceNow 中复制 AD 组（及其成员）？

Question

我们在 Active Directory 中有包含成员的组，在 ServiceNow 中也有包含相同成员的相同组。

计划将 Okta 用作单点登录解决方案。为此，我们可以让 Okta 从 AD 配置用户。

我们希望 Okta 也可以配置组并从 AD 维护其成员资格。比如：

1. 在 AD 中的组中添加或删除人员时，我们希望将这些人员从 ServiceNow 中的同一组中删除。
2. 在 AD 中添加或删除组时，我们希望在 ServiceNow 中删除相同的组。

这可能吗？如果可以，可以使用 Okta 的哪些功能来实现它？

Answer 1

查看了 Peter Raeves 链接的文档，并在测试实例中进行了一些实验后，似乎可以在 ServiceNow 中复制 AD 组，如下所示：

（请注意，步骤 1 和 2 可以按任意顺序完成）

1. 确保 Okta 已连接到 Active Directory。这需要安装和配置 Okta AD 代理，如 here 所述。
2. 使用 SAML 连接将 Okta 连接到 ServiceNow。对于较新版本的 ServiceNow，不 使用 Okta ServiceNow 插件似乎更好，因为该插件似乎不适用于 ServiceNow 中引入的 SSO 更改。通过单击 Okta ServiceNow 应用程序中“登录”选项卡下的“查看设置说明”，可以找到“手动”配置连接的说明。 确保在 Okta ServiceNow 应用程序的“配置”选项卡下启用配置。
3. 将 ServiceNow 应用程序分配给 Active Directory 用户。这可以在 Okta ServiceNow 应用程序的“人员”选项卡下完成。这需要在第 4 步之前完成（Okta 将忽略在组中发现的所有未分配给应用程序的用户）。
4. 将所需的 Active Directory 组推送到 ServiceNow。这可以在 Okta ServiceNow 应用程序的“推送组”选项卡下完成。如果您勾选“立即推送组成员”复选框，Okta 可以在推送组时复制 ServiceNow 中的组成员。添加群组后，您也可以通过单击群组列表中的向下箭头并选择“立即推送”来推送成员资格。

请注意，仍然需要在 ServiceNow 中维护用户角色。由于 Okta 根本不涉及角色，因此可以在 ServiceNow 的组级别添加它们，而不会有被 Okta 覆盖的风险。