Benutzerdefinierte Zuordnung

ADFS, Google und Okta verwenden Ihre E-Mail-Adresse als SAML-Attribut. In diesem Abschnitt wird die benutzerdefinierte SAML-Zuordnung basierend auf Ihrem Benutzernamen oder einem externen Anbieterschlüssel behandelt.

Wichtig: Bitte berücksichtigen Sie, dass die Konfiguration benutzerdefinierter Zuordnungsattribute sich auf das gesamte System auswirkt. Dies bedeutet, dass sie für alle bestehenden Identitäts-Provider Geltung haben. Infolgedessen kann kein anderer Anbieter (Azure, Windows) arbeiten, während eine neue Zuordnung festgelegt wird.

Dazu müssen folgende Parameter in den Einstellungen zu SAML2 von Identity Server auf der Seite Externe Anbieter konfiguriert werden (siehe Host Identity Management Hub, um zu erfahren, wie Sie auf Identity Server zugreifen):

• Zuordnungsstrategie für externen Benutzer – Definiert die Zuordnungsstrategie. Folgende Optionen stehen zur Verfügung:

  • By user email - Ihre E-Mail-Adresse wird als Attribut angegeben. Dies ist der Standardwert.
  • By username - Ihr Benutzername wird als Attribut angegeben.
  • By external provider key - Ein externer Provider-Schlüssel wird als Attribut angegeben.
• Anspruchsbezeichnername des externen Benutzers – Definiert den Anspruch, der als Bezeichner für die Zuordnung verwendet werden soll. Ist nur erforderlich, wenn Sie Ihren Benutzernamen als Attribut festlegen.

Benutzerdefinierte Zuordnung mittels OKTA

Das folgende Beispiel ist eine Konfiguration für jede Zuordnungsstrategie mithilfe von OKTA.

Hinweis: Aktivieren und speichern Sie eventuelle Konfigurationsänderungen im Identity Server und starten Sie anschließend den IIS-Server neu.

ByUserEmail

Dies ist die Standardzuordnungsstrategie. Die Benutzeridentifizierung erfolgt mithilfe eines E-Mail-Anspruchs.

Um die Benutzer-E-Mail zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By user email fest.

ByUserName

Dadurch kann der Administrator einen bestimmten Anspruch für die Benutzeridentifikation definieren.

1. In diesem Beispiel definieren wir einen benutzerdefinierten Anspruch in Okta und verwenden user.employeeNumber als Bezeichner:
   
   

   

   
   
2. Definieren Sie die entsprechenden Attribute:
   
   

   

   
   
3. Stellen Sie sicher, dass das Benutzerkonto im Orchestrator denselben Benutzernamen hat, der in Okta definiert ist.

Um den Benutzernamen zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By username fest.
• Legen Sie den Parameter Anspruchsbezeichnername des externen Benutzers auf den zuvor erstellten Anspruch fest, in unserem Beispiel auid-claim.

ByExternalProviderKey

Diese Option wird empfohlen, wenn die Benutzer bereits in Orchestrator und Okta definiert sind.

Ein Administrator mit Zugriff auf die Identity Server-Benutzerdatenbank muss den folgenden SQL-Befehl ausführen:

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• Legen Sie den Parameter LoginProvider auf die in Okta verwendete EntityId fest
• Stellen Sie als Parameter ProviderKey die E-Mail-Adresse des Benutzers ein.

Um den externen Anbieterschlüssel zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By external provider key fest.