Benutzerdefinierte Zuordnung

ADFS, Google und Okta verwenden Ihre E-Mail-Adresse als SAML-Attribut. In diesem Abschnitt wird die benutzerdefinierte SAML-Zuordnung basierend auf Ihrem Benutzernamen oder einem externen Anbieterschlüssel behandelt.

Wichtig:

Bitte berücksichtigen Sie, dass die Konfiguration benutzerdefinierter Zuordnungsattribute sich auf das gesamte System auswirkt. Dies bedeutet, dass sie für alle bestehenden Identitäts-Provider Geltung haben. Infolgedessen kann kein anderer Provider (Azure, Windows) arbeiten, während eine neue Zuordnung eingerichtet wird.

The following parameters need to be configured in this regard in Identity Server's SAML2 settings within the External Providers page (read here how to access Identity Server):

• Zuordnungsstrategie für externen Benutzer – Definiert die Zuordnungsstrategie. Folgende Optionen stehen zur Verfügung:
  • By user email - Ihre E-Mail-Adresse wird als Attribut angegeben. Dies ist der Standardwert.
  • By username - Ihr Benutzername wird als Attribut angegeben.
  • By external provider key - Ein externer Provider-Schlüssel wird als Attribut angegeben.
• Anspruchsbezeichnername des externen Benutzers – Definiert den Anspruch, der als Bezeichner für die Zuordnung verwendet werden soll. Ist nur erforderlich, wenn Sie Ihren Benutzernamen als Attribut festlegen.

Benutzerdefinierte Zuordnung mittels OKTA

Nachstehend ist ein Beispiel für jede Zuordnungsstrategie mittels OKTA angeführt.

Hinweis:

Aktivieren und speichern Sie eventuelle Konfigurationsänderungen im Identity Server und starten Sie anschließend den IIS-Server neu.

ByUserEmail

Dies ist die Standardzuordnungsstrategie. Die Benutzeridentifizierung erfolgt mithilfe eines E-Mail-Anspruchs.

To use the user email, configure SAML in the host Management portal (Users > Authentications Settings > External Providers > SAML 2.0) as follows:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By user email fest.

ByUserName

Dadurch kann der Administrator einen bestimmten Anspruch für die Benutzeridentifikation definieren.

1. In diesem Beispiel definieren wir einen benutzerdefinierten Anspruch in Okta und verwenden user.employeeNumber als Bezeichner:

   

2. Definieren Sie die entsprechenden Attribute:

   

3. Stellen Sie sicher, dass das Benutzerkonto im Orchestrator denselben Benutzernamen hat, der in Okta definiert ist.

To use the user name, configure SAML in the host Management portal (Users > Authentications Settings > External Providers > SAML 2.0) as follows:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By username fest.
• Legen Sie den Parameter Anspruchsbezeichnername des externen Benutzers auf den zuvor erstellten Anspruch fest, in unserem Beispiel auid-claim.

ByExternalProviderKey

Diese Option wird empfohlen, wenn die Benutzer bereits in Orchestrator und Okta definiert sind.

Ein Administrator mit Zugriff auf die Identity Server-Benutzerdatenbank muss den folgenden SQL-Befehl ausführen:

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• Legen Sie den Parameter LoginProvider auf die in Okta verwendete EntityId fest
• Stellen Sie als Parameter ProviderKey die E-Mail-Adresse des Benutzers ein.

To use the external provider key, configure SAML in the host Management portal (Users > Authentication Settings > External Providers > SAML 2.0) as follows:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By external provider key fest.