これでSSL証明書ができたので、nginxのセットアップを完了できます。

• sudo nano /etc/nginx/sites-enabled/defaultを編集します
• 次のセクションを削除します。
  

location / {
  # First attempt to serve request as file, then
  # as directory, then fall back to displaying a 404.
  try_files $uri $uri/ =404;
}

• # managed by Certbotの行の後に下にスクロールします 、ただし}の前 、次のように貼り付けます。
  

  real_ip_header X-Real-IP;
  real_ip_recursive on;
  proxy_connect_timeout       600;
  proxy_send_timeout          600;
  proxy_read_timeout          600;
  send_timeout                600;

  location / {
    try_files $uri @proxy;
  }

  location @proxy {
    proxy_pass http://127.0.0.1:8080;
    proxy_pass_header Server;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_pass_header Server;
    proxy_connect_timeout 3s;
    proxy_read_timeout 10s;
  }

• Ctrl + Xを押して終了し、Yを押して保存してから、Enterキーを押してパスを確認します
• sudo nginx -s reloadを使用してnginxをリロードします

Webアプリのインストール

これで、Webアプリをインストールして起動できます。セキュリティが少し強化されるため、Webアプリケーションを実行するユーザーを作成します。次を実行します：

• sudo apt-get install -y python3-pip python pipをインストールして、Flaskの依存関係をインストールできるようにします
• sudo adduser --system --no-create-home --group ssoappuser Webアプリを実行するユーザーを作成します
• cd /home
• sudo mkdir ssoapp
• sudo chown ssoappuser:ssoappuser ssoapp
• cd ssoapp
• sudo git clone https://github.com/thesparklabs/openvpn-okta-sso-example.git GitHubからWebアプリケーションをダウンロードします
• cd openvpn-okta-sso-example
• sudo python3 -m pip install -r requirements.txt Webアプリケーションの依存関係をインストールする
• sudo cp ssoapp.service /lib/systemd/system/ssoapp.service サービスファイルをインストールします
• sudo chown root:root /lib/systemd/system/ssoapp.service
• sudo systemctl daemon-reload

Webアプリのセットアップ

最後に、Webアプリケーションが機能してOktaと通信するには、いくつかの簡単なセットアップ作業が必要です。ここでクライアントIDが必要になります 、クライアントシークレット 、およびOktaドメイン 以前にOktaのセットアップを集めました。

• sudo cp client_secrets.json.dist client_secrets.jsonを使用してシークレットテンプレートのコピーを作成します
• 以下を使用してランダムなシークレットを作成し、それをコピーしますopenssl rand -hex 20
• sudo nano client_secrets.jsonを使用して構成を編集します
• {{THIS_IS_A_SECRET}}を置き換えます 2ステップ前に生成したランダムな文字列を使用
• {{OKTA_DOMAIN}}を置き換えます auth_uri、issuer、token_uri、userinfo_uriでOktaドメインを使用
• {{CLIENT_ID}}を置き換えます クライアントID
• {{CLIENT_SECRET]]を置き換えます クライアントシークレット
• {{YOUR_DOMAIN}}を置き換えます サーバーアドレスを使用します。例： myserver.com
• Ctrl + Xを押して終了し、Yを押して保存してから、Enterキーを押してパスを確認します
• sudo nginx -s reloadを使用してnginxをリロードします

これで、アプリケーションサービスを有効にして開始できます

• システムがsudo systemctl enable ssoappを実行したときにサービスを開始できるようにします
• サービスを開始しますsudo systemctl start ssoapp

クライアントの設定

このガイドに従って、UbuntuとViscosityを使用したOpenVPNサーバーのセットアップガイドを使用した場合は、何もする必要はありません。Viscosityに接続するだけです。

既存のサーバーを変更した場合、必要な変更は、ユーザー/パスワード認証がオンになっている場合はオフにすることだけです。これを行うには、接続を編集し、[認証]に移動して、[ユーザーユーザー名/パスワード認証]のチェックを外し、接続を保存して接続します。

認証トークン

OpenVPN auth-gen-token

サンプルアプリケーションには、auth-gen-tokenのサポートが含まれています。 OpenVPN経由でユーザー名/パスワードを使用していないため、これは管理インターフェース経由で処理する必要があります。有効にするには、auth-gen-token 0 external-authを追加するだけです。 サーバー構成に。

Oktaトークンの更新

上記の例は、再認証にOpenVPNの認証トークンの代わりにOktaトークンを使用するように拡張できます。 OpenVPNの組み込みサポートがセットアップの大部分をカバーするため、この例は提供しません。

ただし、代わりにOktaを使用したい場合は、次の点に注意してください。

• 認証トークンをプッシュするには、clientAllow関数の応答を変更する必要があります。
• clientReauth関数を変更して、管理インターフェイスを介して渡されるクライアント環境からパスワードを取得し、Oktasのドキュメントに従ってこのトークンを更新してから、更新されたトークンを含むclientAllowと同様のclient-auth応答を送信する必要があります。
• reneg-secがOktaトークンの有効期限よりも短くなるように、サーバーとクライアントの構成を変更する必要があります