managing-cloud-identity-with-okta

用途：在 AWS、Azure、GCP 控制台访问中通过 Okta 统一身份认证与联邦，落地抗钓鱼 MFA、自动用户生命周期管理、上下文自适应访问策略与身份威胁监控。

主要能力与用法：

1. SSO 联邦：为 AWS 配置 SAML 2.0（单点登录 URL https://signin.aws.amazon.com/saml，受众 URI urn:amazon:webservices，属性映射 RoleSessionName 与 Role），为 Azure 通过 OIDC 外部 IdP，为 GCP 使用 Workforce Identity Federation（gcloud iam workforce-pools create / providers create-oidc）。
2. 抗钓鱼 MFA：启用 Okta FastPass 与 FIDO2 (WebAuthn)，禁用 SMS 与语音；按管理员角色设重新认证与会话时长。
3. 生命周期自动化：通过 SCIM 将 Okta 组映射到云权限集，用户激活、组变更、停用、挂起时自动开通或撤销访问。
4. 自适应策略：依据组、设备合规、网络位置、风险信号决定 MFA 强度与会话时长，可阻断匿名代理与 Tor。
5. 威胁监控：启用 ThreatInsight，用 System Log API 查询失败登录，日志流式输出到 Splunk、AWS EventBridge、Datadog。

适用场景：多公有云统一身份认证、替换短信 MFA、多云的入职与离职自动化、SOC 2 与零信任合规审计。

限制与前置：需要 Okta Workforce Identity 许可与管理台权限、云账号支持 SAML/OIDC、Universal Directory 已同步用户、设备管理平台做设备信任。不适用于无外部 IdP 的云原生身份管理、应用级授权逻辑或机密管理。需注意未纳入 Okta 联邦的直连 IAM 用户与服务账号可能残留后门，SCIM 传播存在延迟。