Hinweis:

Just-in-Time Provisioning für SAML-basierten IDP in IDCS/Identitätsdomains konfigurieren

Einführung

Mit dem SAML-basierten Just-in-Time-(JIT-)Provisioning wird die Benutzererstellung von Identitäten in Identity Cloud Service für neue Benutzer automatisiert. Die Benutzeraccounts werden erstellt, wenn der Benutzer versucht, über SSO auf die Zielanwendung zuzugreifen. Neben der Benutzererstellung kann JIT auch Gruppenmitgliedschaften im Rahmen des Provisionings erteilen und entziehen. Mit JIT können die bereitgestellten Benutzer auch aktualisiert werden, indem die Quellattribute (Serviceprovider - SP) dem Identitätsprovider - IDP zugeordnet werden.

Indem Sie das JIT-Provisioning für Ihren Identitätsprovider mit IDCS aktivieren, können Sie Benutzer effizienter verwalten. Dadurch können Sie die Administrationskosten für die manuelle Synchronisierung der Benutzer senken.

JIT-Provisioning - Vorteile

Zielsetzung

Just-in-Time Provisioning für SAML-basierten IDP in IDCS/Identitätsdomains über REST-APIs konfigurieren.

Hinweis: Wenn Ihr Mandant bereits zu Identitätsdomains migriert ist und Sie dieses Setup über die Konsole ausführen möchten, finden Sie den folgenden Link: Just-in-Time-SAML IdP hinzufügen.

Voraussetzungen

Aufgabe 1: Liste der Identitätsprovider abrufen, die in Ihrem IDCS-/Identitätsdomainmandanten konfiguriert sind

Aufgabe 2: Details des konfigurierten SAML-IDP abrufen

Rufen Sie die Details des konfigurierten SAML-IDP ab, für den Sie das JIT-Provisioning mit der gefundenen Provider-ID aus Aufgabe 1 aktivieren möchten.

Aufgabe 3: IDP-Providereinstellungen aktualisieren, um JIT-Provisioning zu aktivieren

Aktualisieren Sie die IDP-Providereinstellungen, um das JIT-Provisioning für Ihren SAML-IDP mit einem PATCH-Vorgang zu aktivieren.

Hinweis:

Beispieltext:

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "replace",
      "path": "jitUserProvEnabled",
      "value": true
    },{
      "op": "replace",
      "path": "jitUserProvCreateUserEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvAttributeUpdateEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssertionAttributeEnabled",
      "value": false
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupSAMLAttributeName",
      "value": "groups"
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssignmentMethod",
      "value": "Overwrite"
    }
  ]
}

In der folgenden Tabelle werden die oben genannten IDP-Eigenschaften beschrieben.

Identitätsprovidereigenschaft Beschreibung
jitUserProvEnabled Boolesche Eigenschaft zum Aktivieren/Deaktivieren des SAML-JIT-Provisioning-Features für den konfigurierten IDP.
jitUserProvCreateUserEnabled Boolesche Eigenschaft für die Benutzererstellung, basierend auf der eingehenden Assertion, wenn der Benutzer noch nicht vorhanden ist.
jitUserProvAttributeUpdateEnabled Boolesche Eigenschaft für Benutzeraktualisierung basierend auf der eingehenden Assertion, wenn der Benutzer bereits vorhanden ist.
jitUserProvGroupAssertionAttributeEnabled Boolesche Eigenschaft, die angibt, ob Gruppenmitgliedschaften dem Benutzer basierend auf einer Liste von Gruppennamen zugewiesen werden sollen, die vom IDP in einem SAML-Attribut empfangen werden.
jitUserProvGroupSAMLAttributeName Der Name des SAML-Assertion-Attributs, das Gruppen enthält, die dem Benutzer zugewiesen werden sollen, wenn die Eigenschaft jitUserProvGroupAssertionAttributeEnabled "true" ist.
jitUserProvGroupAssignmentMethod Zeichenfolgeneigenschaft, die steuert, wie Gruppenmitgliedschaften dem Identity Cloud Service-Benutzer zugewiesen werden - Überschreiben/Zusammenführen.

Nach diesem Vorgang muss das JIT-Provisioning für den SAML-IDP aktiviert sein. Sie können dies bestätigen, indem Sie den in Aufgabe 2 genannten GET-Vorgang ausführen. Die folgende Abbildung zeigt die Beispielausgabe.

Bild 3

Dadurch erhalten Sie jetzt die ID des zugeordneten Attributs, die im nächsten Endpunkt für die Zuordnung der SP-Attribute zu IDP-Attributen verwendet wird.

Bild 4

Aufgabe 4: jitUserProvAttributes-Zuordnung für Ihren SAML-Identitätsprovider für das Benutzer-Provisioning festlegen

Nachdem Sie das JIT-Provisioning für Ihren SAML-IDP aktiviert haben, müssen Sie im nächsten Schritt die Serviceproviderattribute den Identitätsproviderattributen zuordnen. Verwenden Sie die zugeordnete Attribut-ID aus Aufgabe 3 mit dem in diesem Abschnitt beschriebenen REST-Endpunkt.

Hinweis:

Aufgabe 5: Attribut jitUserProvAttributes-Zuordnungsaktualisierung konfigurieren

Konfigurieren Sie das Attribut jitUserProvAttributes Mappingupdate von Serviceprovider - SP zu Identitätsprovider - IDP.

Aufgabe 6: JIT-Provisioning testen

  1. Melden Sie sich in einer neuen Browsersession bei IDCS meiner Konsole an.
  2. In IDCS wird der Anmeldebildschirm angezeigt.
  3. Wählen Sie den konfigurierten IDP aus, der jetzt mit JIT Provisioning aktiviert ist.
  4. IDCS leitet Sie zur IDP-Anmeldeseite für die Anmeldung weiter.
  5. Geben Sie die gültigen Zugangsdaten des Benutzers ein, der nicht in IDCS vorhanden ist.
  6. Nach erfolgreicher Anmeldung sollten Sie zum IDCS-Konsolenbildschirm weiterleiten.
  7. Über Admin-Account validieren, dass der Benutzer erfolgreich in IDCS erstellt wurde.

Danksagungen

Autor - Chetan Soni (Cloud Solutions Engineer)

Weitere Lernressourcen

Sehen Sie sich andere Übungen zu docs.oracle.com/learn an, oder greifen Sie auf weitere kostenlose Lerninhalte im Oracle Learning YouTube-Kanal zu. Besuchen Sie außerdem die Website education.oracle.com/learning-explorer, um Oracle Learning Explorer zu werden.

Produktdokumentation finden Sie im Oracle Help Center.