Asignación personalizada

ADFS, Google y OKTA utilizan tu dirección de correo electrónico como atributo SAML. Esta sección se encarga de la asignación personalizada de SAML basada en tu nombre de usuario o en la clave de un proveedor externo.

Importante: Ten en cuenta que la configuración de los atributos de asignación personalizados afecta a todo el sistema, por lo que se aplican a todos los proveedores de identidad existentes. Como resultado, ningún otro proveedor (Azure, Windows) puede trabajar mientras se establece una nueva asignación.

Los siguientes parámetros deben configurarse a tal efecto en la configuración de SAML2 de Identity Server dentro de la página Proveedores externos (consulta aquí cómo acceder a Identity Server):

• Estrategia de asignación de usuarios externos: define la estrategia de asignación. Las siguientes opciones están disponibles:

  • By user email: tu dirección de correo electrónico está configurada como atributo. Este es el valor predeterminado.
  • By username : tu nombre de usuario se establece como atributo.
  • By external provider key : una clave de proveedor externo se establece como atributo.
• Nombre de la solicitud del identificador de usuario externo: define el derecho que se utilizará como identificador para la asignación. Solo es necesario si estableces tu nombre de usuario como atributo.

Asignación personalizada con OKTA

A continuación se muestra un ejemplo de configuración para cada estrategia de asignación utilizando OKTA.

Nota: Reinicia el servidor de IIS después de realizar cualquier cambio de configuración en Identity Server.

Por correo electrónico del usuario

Esta es la estrategia de asignación predeterminada. La identificación de usuario se realiza mediante una solicitud de correo electrónico. Los siguientes ajustes son necesarios en la configuración de SAML2 de Identity Server dentro de la página Proveedores externos:

• Selecciona la casilla de verificación habilitado.
• Establece el parámetro Estrategia de asignación de usuarios externos enBy user email.
  
  

  

  
  

Por nombre de usuario

Esto permite al administrador definir una reclamación específica para la identificación del usuario. En este ejemplo, definimos una reclamación personalizada en OKTA y utilizamos user.employeeNumber como identificador.

Define los atributos correspondientes.

Asegúrate de definir un usuario que tenga el mismo nombre de usuario que el definido en OKTA.

Los siguientes ajustes son necesarios en la configuración de SAML2 de Identity Server dentro de la página Proveedores externos:

• Selecciona la casilla de verificación habilitado.
• Establece el parámetro Estrategia de asignación de usuarios externos enBy username.
• Establece el parámetro Nombre de identificador de usuario externo en la solicitud creada previamente en nuestro ejemplo, auid-claim.
  
  

  

  
  

Por clave de proveedor externo

Esta opción es recomendable si los usuarios ya están definidos en Orchestrator y OKTA.

Es necesario un administrador con acceso a la base de datos de usuarios de Identity Server para ejecutar el siguiente comando de SQL:

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• Establece el parámetro LoginProvider en el ID de entidad utilizado en OKTA
• Establece el parámetro ProviderKey en la dirección de correo electrónico del usuario

Los siguientes ajustes son necesarios en la configuración de SAML2 de Identity Server dentro de la página Proveedores externos:

• Selecciona la casilla de verificación habilitado.
• Establece el parámetro Estrategia de asignación de usuarios externos enBy external provider key.