Benutzerdefinierte Zuordnung

ADFS, Google und OKTA. Diese verwenden alle Ihre E-Mail-Adresse als SAML-Attribut. In diesem Abschnitt wird benutzerdefinierte SAML-Zuordnung entweder auf Ihrem Benutzernamen oder auf einem externen Provider-Schlüssel basierend beschrieben.

Wichtig:

Bitte berücksichtigen Sie, dass die Konfiguration benutzerdefinierter Zuordnungsattribute sich auf das gesamte System auswirkt. Dies bedeutet, dass sie für alle bestehenden Identitäts-Provider Geltung haben. Infolgedessen kann kein anderer Provider (Azure, Windows) arbeiten, während eine neue Zuordnung eingerichtet wird.

The following parameters need to be configured in this regard in Identity Server's SAML2 settings within the External Providers page (read here how to access Identity Server):

• Zuordnungsstrategie für externen Benutzer – Definiert die Zuordnungsstrategie. Folgende Optionen stehen zur Verfügung:
  • By user email - Ihre E-Mail-Adresse wird als Attribut angegeben. Dies ist der Standardwert.
  • By username - Ihr Benutzername wird als Attribut angegeben.
  • By external provider key - Ein externer Provider-Schlüssel wird als Attribut angegeben.
• Anspruchsbezeichnername des externen Benutzers – Definiert den Anspruch, der als Bezeichner für die Zuordnung verwendet werden soll. Ist nur erforderlich, wenn Sie Ihren Benutzernamen als Attribut festlegen.

Benutzerdefinierte Zuordnung mittels OKTA

Das folgende Beispiel ist eine Konfiguration für jede Zuordnungsstrategie mithilfe von OKTA.

Hinweis:

Aktivieren und speichern Sie eventuelle Konfigurationsänderungen im Identity Server und starten Sie anschließend den IIS-Server neu.

ByUserEmail

Dies ist die standardmäßige Zuordnungsstrategie. Die Benutzeridentifizierung erfolgt anhand einer E-Mail-Anforderung. Die folgenden SAML2-Einstellungen vom Identity Server sind auf der Seite Externe Anbieter erforderlich:

• Wählen Sie das Kontrollkästchen Aktiviert aus.

• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By user email fest.

  

ByUserName

Dies ermöglicht dem Administrator, eine bestimmte Anforderung für die Benutzeridentifizierung festzulegen. In diesem Beispiel definieren wir eine benutzerdefinierte Anforderung in OKTA und verwenden user.employeeNumber als Identifier.

Definieren Sie die entsprechenden Attribute.

Achten Sie darauf, einen Benutzer zu definieren, der denselben Benutzernamen trägt wie in OKTA festgelegt.

Die folgenden SAML2-Einstellungen vom Identity Server sind auf der Seite Externe Anbieter erforderlich:

• Wählen Sie das Kontrollkästchen Aktiviert aus.

• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By username fest.

• Legen Sie den Parameter Anspruchsbezeichnername des externen Benutzers auf den zuvor erstellten Anspruch fest, in unserem Beispiel auid-claim.

  

ByExternalProviderKey

Diese Option wird empfohlen, wenn die Benutzer bereits im Orchestrator und in OKTA definiert sind.

Ein Administrator mit Zugriff auf die Identity Server-Benutzerdatenbank muss den folgenden SQL-Befehl ausführen:

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• Legen Sie den Parameter LoginProvider auf die Entitäts-ID fest, die Sie in OKTA verwendet haben.
• Stellen Sie als Parameter ProviderKey die E-Mail-Adresse des Benutzers ein.

Die folgenden SAML2-Einstellungen vom Identity Server sind auf der Seite Externe Anbieter erforderlich:

• Wählen Sie das Kontrollkästchen Aktiviert aus.

• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By external provider key fest.