自定义映射

ADFS、Google 和 OKTA，它们都将您的电子邮件地址用作 SAML 属性。本节根据您的用户名或外部提供程序密钥处理自定义 SAML 映射。

重要提示：请注意，配置自定义映射属性会影响整个系统，这意味着它们适用于所有现有的身份提供程序。因此，在设置新映射时，没有其他提供程序（Azure、Windows）可以工作。

在这方面，需要在 外部提供程序 页面的 Identity Server 的SAML2设置中配置以下参数（请 在此处 阅读如何访问 Identity Server）：

• 外部用户映射策略 - 定义映射策略。提供以下选项：

  • By user email - 您的电子邮件地址被设置为属性。这是默认值。
  • By username - 您的用户名被设置为属性。
  • By external provider key - 将外部提供程序密钥设置为属性。
• 外部用户标识符声明名称 - 定义要用作映射标识符的声明。仅当您将用户名设置为属性时才需要。

使用 OKTA 自定义映射

请参阅下面的配置示例，了解使用 OKTA 的每种映射策略。

注意：在 Identity server 中执行并保存任何配置更改后，需要重新启动 IIS 站点。

通过用户电子邮件

这是默认的映射策略。使用电子邮件声明来识别用户。需要在“外部提供程序”页面中的 Identity Server 的 SAML2 设置中，进行以下设置：

• 选择“已启用”复选框。
• 将“外部用户映射策略”参数设置为 By user email。
  
  

  

  
  

通过用户名

这使管理员能够为用户标识定义特定声明。在此示例中，我们在 OKTA 中定义自定义声明，并使用 user.employeeNumber 作为标识符。

定义相应的属性。

确保定义的用户名与 OKTA 中定义的用户名相同。

需要在“外部提供程序”页面中的 Identity Server 的 SAML2 设置中，进行以下设置：

• 选择“已启用”复选框。
• 将“外部用户映射策略”参数设置为 By username。
• 将外部用户标识符声明名称参数设置为先前创建的声明，在我们的示例中为 auid-claim。
  
  

  

  
  

通过外部提供程序密钥

如果已经在 Orchestrator 和 OKTA 中定义了用户，则建议使用此选项。

有权访问 Identity Server 用户数据库的管理员需要运行以下 SQL 命令：

INSERT INTO [identity].[AspNetUserLogins] (UserId,LoginProvider,ProviderKey)
VALUES (<userid>,'http://www.okta.com/exkh4xo7uoXgjukfS0h7','[e-mail]')

• 将 LoginProvider 参数设置为 OKTA 中使用的实体 ID
• 将 ProviderKey 参数设置为用户的电子邮件地址

需要在“外部提供程序”页面中的 Identity Server 的 SAML2 设置中，进行以下设置：

• 选择“已启用”复选框。
• 将“外部用户映射策略”参数设置为 By external provider key。