" %}
SAML 2.0 单选按钮将此字段设置为预先生成的**断言消费者服务 (ACS) URL**。
{% endembed %}
选择 **Next** 按钮以继续进行配置。
### 常规设置
在 **General Settings** 界面，为应用程序指定一个唯一的、专用于 Bitwarden 的名称，然后选择 **Next**。
### 配置 SAML
在 **Configure SAML** 界面，配置以下字段：
| 字段 | 描述 |
| --------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| Single sign on URL | 将此字段设置为预先生成的断言消费者服务 (ACS) URL。
此自动生成的值可以从组织的设置 → 单点登录界面复制，并且会根据您的设置而有所不同。
|
| Audience URI (SP Entity ID) | 将此字段设置为预先生成的 SP 实体 ID。
此自动生成的值可以从组织的设置 → 单点登录界面复制，并且会根据您的设置而有所不同。
|
| Name ID format | 选择在 SAML 声明中使用的 [SAML NameID format](https://docs.oracle.com/cd/E19316-01/820-3886/ggwbz/index.html)。默认为 **Unspecified**。 |
| Application username | 选择用户用于登录 Bitwarden 的 Okta 属性。 |
### 高级设置
选择 **Show Advanced Settings** 链接并配置以下字段：
{% embed url="" %}
高级设置
{% endembed %}
| 字段 | 描述 |
| ------------------- | ---------------------------------------------------------------------------------- |
| Response | SAML 响应是否由 Okta 签名。 |
| Assertion Signature | SAML 声明是否由 Okta 签名。 |
| Signature Algorithm | 用于对响应和/或声明进行签名的签名算法，具体取决于设置为 **Signed** 的算法。默认为 `rsa-sha256`。 |
| Digest Algorithm | 用于对响应和/或声明进行签名的摘要算法，具体取决于设置为 **Signed** 的算法。此字段必须与已选择的 **Signature Algorithm** 匹配。 |
### 属性声明
在 **Attribute Statements** 部分，构建以下 SP → IdP 属性映射：
{% embed url="" %}
属性声明
{% endembed %}
配置完成后，选择 **Next** 按钮进入 **Feedback** 界面然后选择 **Finish**。
### 获取 IdP 值
应用程序创建后，选择应用程序的 **Sign On** 选项卡，然后选择屏幕右侧的 **View Setup Instructions** 按钮：
{% embed url="" %}
查看 SAML 设置介绍
{% endembed %}
保留此页面以供[后面步骤](#identity-provider-configuration)使用，或复制 **Identity Provider Single Sign-On URL** 和 **Identity Provider Issuer** 并下载 **X.509 Certificate**：
{% embed url="" %}
IdP 值
{% endembed %}
### 分配
导航到 **Assignments** 选项卡然后选择 **Assign** 按钮：
{% embed url="" %}
分配群组
{% endembed %}
您可以使用 **Assign to People** 选项逐个用户地分配对应用程序的访问权限，或使用 **Assign to Groups** 选项来批量分配。
## 返回网页 App
至此，您已经在 Okta 管理门户中配置好了您所需要的一切。请返回 Bitwarden 网页 App 完成配置。
单点登录界面将配置分为两个部分：
* **SAML 服务提供程序配置**将决定 SAML 请求的格式。
* **SAML 身份提供程序配置**将决定用于 SAML 响应的预期格式。
### 服务提供程序配置
根据在 Okta 管理门户[设置期间](#create-an-okta-app)所选择的选项配置以下字段：
| 字段 | 描述 |
| ---------------------------------- | ------------------------------------------------------------------------------------------ |
| Name ID Format | 将其设置为[在 Okta 中指定的](#configure-saml) NameID 格式。否则，请保留为 **Unspecified**。 |
| Outbound Signing Algorithm | Bitwarden 用于签名 SAML 请求的算法。 |
| Signing Behavior | SAML 请求是否/何时将被签名。 |
| Minimum Incoming Signing Algorithm | 将其设置为[在 Okta 中指定的](#configure-saml) 签名算法。 |
| Want Assertions Signed | 如果您[在 Okta 中](#advanced-settings)将 Assertion Signature 字段设置为 **Signed**，请选中此框。 |
| Validate Certificates | 通过受信任的 CA 使用来自 IdP 的受信任和有效证书时，请选中此框。除非在 Bitwarden SSO 登录 docker 镜像中配置了适当的信任链，否则自签名证书可能会失败。 |
完成服务提供程序配置部分后，**保存**您的工作。
### 身份提供程序配置
身份提供程序配置通常需要你返回 Okta 管理门户以获取应用程序的值：
| 字段 | 描述 |
| ----------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Entity ID | 输入您的 **Identity Provider Issuer**，这可以从 Okta 的 [**Sign On** 设置](#get-idp-values)界面选择 **View Setup Instructions** 按钮来获取。 |
| Binding Type | 设置为 **Redirect**。Okta 目前不支持 HTTP POST。 |
| Single Sign On Service URL | 输入您的 **Identity Provider Single Sign-On URL**，这可以从 Okta 的 [**Sign On** 设置](#get-idp-values)界面获取。 |
| Single Log Out Service URL | SSO 登录当前还**不支持** SLO。该选项计划用于将来的开发。但是您可以根据需要预先配置它。 |
| X509 Public Certificate | 黏贴已下载的证书，移除 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----。
证书值区分大小写，多余的空格、回车符和其他多余的字符将导致证书验证失败。
|
| Outbound Signing Algorithm | 选择[在 Okta 应用程序配置期间](#advanced-settings)选择的签名算法。如果您没有更改签名算法，请将其保留为默认 (`rsa-sha256`)。 |
| Disable Outbound Logout Requests | SSO 登录当前还**不支持** SLO。该选项计划未来开发。 |
| Want Authentication Requests Signed | Okta 是否要求 SAML 请求被签名。 |
{% hint style="info" %}
填写 X509 证书时，请注意到期日期。必须续签证书，以防止向 SSO 最终用户提供的服务中断。如果证书已过期，管理员和所有者账户将始终可以使用电子邮箱地址和主密码登录。
{% endhint %}
完成身份提供程序配置部分后，**保存**您的工作。
{% hint style="success" %}
您可以通过激活单点登录身份验证策略来要求用户使用 SSO 登录。请注意，这需要先激活单一组织策略。[了解更多](https://help.ppgg.in/docs/admin-console/oversight-visibility/enterprise-policies)。
{% endhint %}
## 测试配置
配置完成后，通过导航到 或 [https://vault.bitwarden.eu](https://vault.bitwarden.eu/)，输入您的电子邮箱地址，选择**继续**，然后选择**使用单点登录**按钮来进行测试：
{% embed url="" %}
登录选项界面
{% endembed %}
输入[已配置的组织标识符](https://help.ppgg.in/docs/admin-console/login-with-sso/generic-saml#step-1-set-an-organization-identifier)，然后选择**登录**。如果您的实施已成功配置，您将被重定向到 Okta 的登录界面：
{% embed url="" %}
Okta 登录界面
{% endembed %}
使用您的 Okta 凭据进行身份验证后，输入您的 Bitwarden 主密码来解密您的密码库！
{% hint style="info" %}
Bitwarden 不支持非请求响应，因此从您的 IdP 发起登录会导致错误。SSO 登录流程必须从 Bitwarden 发起。Okta 管理员可以创建一个 [Okta Bookmark App](https://support.okta.com/help/s/article/How-do-you-create-a-bookmark-app?language=en_US)，该应用程序将直接链接到 Bitwarden 网页密码库的登录页面。
1. 作为管理员，导航至主导航栏上的 **Applications** 下拉菜单，然后选择 **Applications**。
2. 单击 **Browse App Catalog**。
3. 搜索 **Bookmark App** 然后单击 **Add Integration**。
4. 将以下设置添加到应用程序：
1. 为应用程序命名，例如 **Bitwarden Login**。
2. 在 **URL** 字段中，提供 Bitwarden 客户端的 URL，例如 `https://vault.bitwarden.com/#/login` 或 `your-self-hostedURL.com`。
5. 选择 **Done** 然后返回到应用程序仪表板并编辑新创建的应用程序。
6. 将人员和群组分配给应用程序。您还可以为应用程序分配一个用于最终用户识别的 Logo。Bitwarden Logo 可以从[此处](https://github.com/bitwarden/brand/tree/master)获取。
完成此过程后，分配的人员和群组将在其 Okta 仪表板上拥有一个 Bitwarden 书签应用程序，该应用程序将他们直接链接到 Bitwarden 网页密码库的登录页面。
{% endhint %}