Okta是否支持替换默认自签名证书为第三方签发证书以验证OCSP流程？

Okta 完全支持你所描述的配置需求，具体实现规则和注意事项如下：

• 你可以直接在Okta管理员后台的对应SAML应用设置页，将默认生成的自签名签名证书替换为第三方CA签发的X.509证书，证书需为标准PEM格式，同时需要上传匹配的私钥用于Okta侧的SAML断言签名操作。
• 注意上传的第三方CA证书需启用digitalSignature密钥用法，证书用途允许XML内容签名，否则Okta会校验不通过拒绝上传。
• 证书替换时可自定义新旧证书的生效/失效时间窗口，无需担心业务中断问题。

• 你在自有服务端配置SAML签名校验逻辑时，将对应第三方CA的根证书、中间证书加入信任链，同时开启OCSP吊销状态校验即可。
• 当你在第三方CA侧吊销Okta所用的签名证书后，自有服务端发起的OCSP查询会返回证书已吊销状态，会直接判定该SAML断言无效、拒绝本次认证，完全匹配你要验证的测试场景。
• 测试完成后仅需替换为未吊销的有效证书即可恢复正常使用，无需改动其他SAML配置项。

内容的提问来源于stack exchange，提问作者Bhuvana Dhanam