Okta

Disponibilité des fonctionnalités

Fonctionnalité	Support
Clients OAuth2/OIDC	✅ Complet
Clients SAML	✅ Complet
Resource servers	❌ Non pris en charge
Clonage de client	✅ Complet

Configuration

1. Créer un jeton d’API

   Dans la console d’administration Okta, allez dans Security → API → Tokens → Create Token. Donnez-lui un nom (ex. Taco) et copiez immédiatement la valeur du jeton — elle n’est affichée qu’une seule fois.

   Attention

   Le jeton hérite des permissions de l’administrateur qui l’a créé. Utilisez un compte admin dédié avec le minimum de privilèges nécessaires pour gérer les app integrations.

2. Définir les variables d’environnement

   OPENID_PROVIDER=okta
   OKTA_DOMAIN=your-org.okta.com
   OKTA_API_TOKEN=your-api-token

Notes sur la gestion des clients

• Les clients OAuth2/OIDC sont créés comme des app integrations Okta avec signOnMode: OPENID_CONNECT (type d’app oidc_client). L’ID d’app attribué par Okta sert aussi de client_id OAuth2.
• Les clients SAML sont créés comme des app integrations SAML personnalisées (template_saml_2_0) avec des valeurs par défaut raisonnables (signature RSA_SHA256, format NameID non spécifié). Ajustez les attribute statements et les certificats de signature directement dans la console d’administration Okta pour un contrôle plus fin.
• Les apps sont activées automatiquement à la création. La suppression d’un client désactive d’abord, puis supprime, l’app Okta sous-jacente — conformément aux exigences du cycle de vie d’Okta.
• Les resource servers ne sont pas modélisés par Taco pour ce fournisseur — gérez les Okta Authorization Servers et leurs scopes directement dans la console d’administration Okta.

Connexion OIDC (optionnel)

Pour protéger le tableau de bord Taco avec le SSO Okta, enregistrez une app integration OIDC web séparée (flux authorization code) :

AUTH_CLIENT_OPENID_CONFIGURATION_URL=https://your-org.okta.com
AUTH_CLIENT_ID=your-oidc-app-client-id
AUTH_CLIENT_SECRET=your-oidc-app-client-secret

Ajoutez <BASE_URL>/api/auth/callback/oidc aux Sign-in redirect URIs de l’application.