Configuración del aprovisionamiento de JIT de SAML

Propiedad booleana para activar/desactivar la función de aprovisionamiento de JIT de SAML para esta IdP.

"jitUserProvEnabled": true,

Propiedad booleana que indica si se debe crear un usuario, en función de la afirmación entrante, si el usuario aún no existe.

Por defecto, los usuarios creados mediante el aprovisionamiento de JIT de SAML son usuarios "federados". Los usuarios federados no tienen credenciales para conectarse directamente al dominio de identidad, sino que deben ser autenticados por el proveedor de identidad externo. El estado federado de un usuario se puede cambiar mediante la consola de administración y mediante la actualización del atributo isFederatedUser mediante la API de REST. Por ejemplo, puede que desee cambiar el estado federado de los usuarios con privilegios de administrador para que puedan conectarse directamente a la consola. Si prefiere que todos los usuarios creados mediante el aprovisionamiento de JIT de SAML se creen como usuarios no federados (creados con una contraseña de conexión de dominio de identidad), defina isFederatedUser=false en la configuración de asignaciones de atributos de JIT. Véase attributeMappings en el cuadro que figura a continuación.

"jitUserProvCreateUserEnabled": true,

Propiedad booleana que indica si los atributos del usuario se deben actualizar, en función de la afirmación entrante, si el usuario ya existe.

"jitUserProvAttributeUpdateEnabled": true,

Se trata de una referencia a un objeto MappedAttributes, que define la asignación de los valores de atributo de afirmación de SAML IdP a los atributos de usuario del dominio de identidad, tanto para la creación dinámica de usuarios como para las actualizaciones de atributos de usuario. (Definido al crear IdentityProvider, no actualice esta referencia.)

Consulte a continuación los detalles del uso de jitUserProvAttributes del recurso MappedAttributes.

Propiedad booleana que indica si las afiliaciones a grupos se deben asignar al usuario en función de una lista de nombres de grupo recibidos de IdP en un atributo SAML.

Si esta propiedad es true, se debe definir la propiedad jitUserProvGroupSAMLAttributeName.

"jitUserProvGroupAssertionAttributeEnabled": true,

Propiedad de cadena que controla cómo se asignan los grupos en IdP a los del dominio de identidad. El valor debe ser uno de los siguientes:

explicit: los grupos IdP se asignan explícitamente a los grupos del dominio de identidad mediante la propiedad de configuración jitUserProvGroupMappings.

implícito: los nombres de grupo de la afirmación de SAML deben coincidir con los nombres de grupo del dominio de identidad.

El valor predeterminado es explicit si no se especifica ningún valor.

"jitUserProvGroupMappingMode": "explicit",

Matriz de asignaciones entre grupos en la afirmación IdP y grupos en el dominio de identidad.

Cada objeto de la matriz representa una asignación entre un grupo IdP y un grupo de dominios de identidad.

idpGroup es el identificador de grupo en la afirmación IdP y value es el identificador de grupo en el dominio de identidad.

El número máximo de asignaciones de grupo por IdP es 250.

Nota:

Al utilizar el aprovisionamiento Just-In-Time (JIT) de SAML con la asignación de grupos para asignar o eliminar permisos de grupo para un usuario, tenga en cuenta que los cambios en la pertenencia al grupo pueden no reflejarse inmediatamente. Esto se debe a la consistencia eventual, especialmente al acceder a funciones que se basan en el plano de datos de identidad, como la consola de OCI. Como resultado, puede haber un retraso antes de que las asignaciones o eliminaciones de usuarios se propaguen por completo a los grupos relevantes. Los tiempos de propagación pueden ser más largos para escenarios entre regiones.

		"jitUserProvGroupMappings": [
   {
     "idpGroup": "7e18e37e-1b2f-46d9-9d9c-6df136570b27",
     "value": "4bce9b677ab447f18b65ba7bf9a61c21"
   },
   {
     "idpGroup": "cf6f7594-d454-40ac-971b-07cf0627ca17",
     "value": "6d8448a643b94b268d986e9d31e20cbc"
   }
 ]

Nombre del atributo de afirmación de SAML que contendrá los grupos que se asignarán al usuario, si la propiedad jitUserProvGroupAssertionAttributeEnabled es true.

"jitUserProvGroupSAMLAttributeName": "FederatedGroups",

Propiedad booleana que indica si las afiliaciones a grupos se deben asignar al usuario en función de una lista estática de nombres de grupos.

Si esta propiedad es true, se debe definir la propiedad jitUserProvAssignedGroups.

"jitUserProvGroupStaticListEnabled": true,

Matriz de grupos que se asignarán al usuario, además de los valores recibidos en la afirmación de SAML, si la propiedad jitUserProvGroupStaticListEnabled es true.

Nota: Los valores definidos en esta matriz son ID de grupo (no nombres de grupo).

"jitUserProvAssignedGroups": 
[
{"value": "21f273857a304684a8f7e353e452a2e1"},
{"value": "1962687f74b84121b69c5560769e8b06"}
],

Propiedad String que controla cómo se asignarán las afiliaciones a grupos al usuario en el dominio de identidad. El valor debe ser uno de los siguientes:

"jitUserProvGroupAssignmentMethod": "Merge",

Propiedad booleana que determina la acción que se debe realizar cuando el atributo de afirmación entrante especifica un grupo que no existe o un grupo para el que no existe una asignación de grupo en el dominio de identidad.

Si esta propiedad es verdadera, el grupo que falta se ignora y se crea el usuario.

Si esta propiedad es false y se especifica un grupo inexistente, la creación del usuario fallará.

El valor predeterminado es true para el modo explicit y false para el modo implicit especificado mediante jitUserProvGroupMappingMode.

"jitUserProvIgnoreErrorOnAbsentGroups": true,

Nota: Los nombres de atributo de afirmación de SAML son sensibles a mayúsculas/minúsculas.

Nombre del recurso que está utilizando/tiene una referencia a este atributo asignado (siempre IdentityProvider en caso de aprovisionamiento de JIT de SAML, no actualice).

"refResourceType": "IdentityProvider",

Tipo del recurso de dominio de identidad al que estamos asignando (siempre User en el caso del aprovisionamiento de JIT de SAML, no se actualiza).

"idcsResourceType": "User",

Dirección de la asignación, con respecto al recurso de dominio de identidad en cuestión (siempre inbound en el caso del aprovisionamiento de JIT de SAML, no se actualice).

"direction": "inbound",

ID del recurso IdentityProvider que tiene una referencia a este recurso MappedAttribute (definido en la creación, no actualizar).

"refResourceID": "<IDP Resource ID>",