以已验证的数据暴露信号支持身份风险决策

开始之前

• 拥有 LeakData 账户所有者权限及 Enterprise SIEM 集成访问权限。席位账户无法配置连接。
• 需要一位能够安装和授权 API 服务集成的 Okta 管理员，以及一个支持 Shared Signals 接收方功能的组织。相应的风险策略功能需要 Identity Threat Protection。
• 需要一个处于启用状态的个人邮箱监控项，其邮箱地址已验证所有权，或属于您已验证的域名之一。测试签名信号时，请在测试用 Okta 组织中使用您可控制的示例用户，且该用户的邮箱地址须与监控项一致。

1. 在 Okta 中安装并授权

公开目录上架尚待完成。如果您的目录中没有 LeakData，请先联系支持团队了解当前的配置方式，再继续操作。

1. 在 Okta 管理控制台中打开“应用程序和资源 > API 服务集成”。当目录中提供 LeakData Shared Signals 时，安装该集成。
2. 仅授权 okta.securityEventsProviders.manage。立即复制仅显示一次的 Client Secret，然后记录同一实例的 Client ID 和 Okta 域名。
3. 使用组织未经自定义的源地址，例如 https://integrator-1234567.okta.com。移除 -admin、路径、查询字符串和端口号。

这些凭据来自已安装的 OIN API 服务集成。API 令牌或通过“创建应用集成”创建的通用 OAuth 服务应用，无法提供相同的 OIN Client ID/Secret 配置。

2. 在 LeakData 中连接

1. 以账户所有者身份登录，然后打开“控制台 > 集成 > Okta Shared Signals”。
2. 输入同一已授权实例的组织 URL、Client ID 和 Client Secret。选择“高危和严重”或“仅严重”。
3. 阅读并确认已验证地址的适用范围以及 Okta 风险策略的影响，然后选择“连接 Okta”。LeakData 会验证凭据，并创建或复用其安全事件提供方。
4. 配置完成后，提供方处于启用状态。LeakData 会加密密钥，且不再显示该密钥。

3. 验证连接

1. 选择“检查连接”，在不发送风险信号的情况下验证凭据和提供方状态。确认提供方处于启用状态，且“连接详情”中显示了提供方 ID。
2. 查看符合条件的邮箱监控项。只有已验证所有权或属于您已验证域名之一的完整邮箱地址才符合条件；域名监控项本身不会被发送。
3. 在专用的测试/QA 账户和您可控制的 Okta Integrator 组织中，使用“测试签名信号”前，请检查示例邮箱地址和策略确认内容。此测试可能触发已配置的风险策略。
4. HTTP 202 仅表示已接受请求。请在 Okta 系统日志中检查示例用户对应的 security.events.provider.receive_event 和 user.risk.detect 事件。未知邮箱地址可能会被忽略，且不返回提示。

4. 更换凭据或切换组织

1. 如仍使用同一组织，请选择“更换凭据”，并输入该组织中已授权 LeakData API 服务实例的新 Client ID/Secret 对。保存时会验证并启用连接。
2. “暂停发送”会保留组织绑定和已保存的凭据。此操作不会使账户具备连接另一组织的条件。
3. 如需恢复向同一组织发送信号，请选择“启动发送”，然后选择“检查连接”，并确认提供方处于启用状态。
4. 如需使用其他组织，请先查看“移除连接”的相关说明。确认移除后，将删除提供方、加密凭据和本地发送历史记录。随后再配置新组织。如果移除失败，请联系支持团队；不要认为原提供方已被移除。

故障排查

凭据被拒绝

检查这三个值是否均来自同一个已安装并授权的 OIN API 服务实例。审核期间，请使用当前提交版本的实例。API 令牌和通用 OAuth 服务应用凭据不能替代此配置所需的凭据。

权限或接收方访问被拒绝

确认已授权 okta.securityEventsProviders.manage，且您的 Okta 组织支持 SSF 接收方功能。检查管理员访问权限和组织策略。

已连接到其他组织

只能更换当前显示组织的凭据。暂停发送不会移除连接。切换组织前，请查看上方的移除步骤。

没有信号或用户风险事件

检查邮箱地址是否已验证所有权或属于已验证域名、个人邮箱监控项是否处于启用状态、安全发现是否已验证且为高危或严重级别，并检查所选的严重程度阈值。仅凭接收方接受请求，不能证明已匹配用户或执行策略操作。

需要帮助？

联系 LeakData 支持团队，并提供失败的操作和错误代码。请勿提供密码、Client Secret 或访问令牌。