Benutzerdefinierte Zuordnung

ADFS, Google und Okta verwenden Ihre E-Mail-Adresse als SAML-Attribut. In diesem Abschnitt wird die benutzerdefinierte SAML-Zuordnung basierend auf Ihrem Benutzernamen oder einem externen Anbieterschlüssel behandelt.

Wichtig: Bitte berücksichtigen Sie, dass die Konfiguration benutzerdefinierter Zuordnungsattribute sich auf das gesamte System auswirkt. Dies bedeutet, dass sie für alle bestehenden Identitäts-Provider Geltung haben. Infolgedessen kann kein anderer Anbieter (Azure, Windows) arbeiten, während eine neue Zuordnung festgelegt wird.

Die folgenden Parameter müssen dazu in den SAML2-Einstellungen vom Identity Server auf der Seite Externe Anbieter konfiguriert werden (lesen Sie hier, wie Sie auf den Identity Server zugreifen):

• Zuordnungsstrategie für externen Benutzer – Definiert die Zuordnungsstrategie. Folgende Optionen stehen zur Verfügung:

  • By user email - Ihre E-Mail-Adresse wird als Attribut angegeben. Dies ist der Standardwert.
  • By username - Ihr Benutzername wird als Attribut angegeben.
  • By external provider key - Ein externer Provider-Schlüssel wird als Attribut angegeben.
• Anspruchsbezeichnername des externen Benutzers – Definiert den Anspruch, der als Bezeichner für die Zuordnung verwendet werden soll. Ist nur erforderlich, wenn Sie Ihren Benutzernamen als Attribut festlegen.

Benutzerdefinierte Zuordnung mittels OKTA

Nachstehend ist ein Beispiel für jede Zuordnungsstrategie mittels OKTA angeführt.

Hinweis: Aktivieren und speichern Sie eventuelle Konfigurationsänderungen im Identity Server und starten Sie anschließend den IIS-Server neu.

ByUserEmail

Dies ist die Standardzuordnungsstrategie. Die Benutzeridentifizierung erfolgt mithilfe eines E-Mail-Anspruchs.

Um die Benutzer-E-Mail zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By user email fest.

ByUserName

Dadurch kann der Administrator einen bestimmten Anspruch für die Benutzeridentifikation definieren.

1. In diesem Beispiel definieren wir einen benutzerdefinierten Anspruch in Okta und verwenden user.employeeNumber als Bezeichner:
   
   

   

   
   
2. Definieren Sie die entsprechenden Attribute:
   
   

   

   
   
3. Stellen Sie sicher, dass das Benutzerkonto im Orchestrator denselben Benutzernamen hat, der in Okta definiert ist.

Um den Benutzernamen zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By username fest.
• Legen Sie den Parameter Anspruchsbezeichnername des externen Benutzers auf den zuvor erstellten Anspruch fest, in unserem Beispiel auid-claim.

ByExternalProviderKey

Diese Option wird empfohlen, wenn die Benutzer bereits in Orchestrator und Okta definiert sind.

Ein Administrator mit Zugriff auf die Identity Server-Benutzerdatenbank muss den folgenden SQL-Befehl ausführen:

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• Legen Sie den Parameter LoginProvider auf die in Okta verwendete EntityId fest
• Stellen Sie als Parameter ProviderKey die E-Mail-Adresse des Benutzers ein.

Um den externen Anbieterschlüssel zu verwenden, konfigurieren Sie SAML im Hostverwaltungsportal (Benutzer > Authentifizierungseinstellungen > Externe Anbieter > SAML 2.0) wie folgt:

• Aktivieren Sie das Kontrollkästchen Aktiviert.
• Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By external provider key fest.