Configuration du provisionnement JIT SAML

Propriété booléenne permettant d'activer/de désactiver la fonctionnalité de provisionnement JIT SAML pour cette instance IdP.

"jitUserProvEnabled": true,

Propriété booléenne indiquant si un utilisateur doit être créé, en fonction de l'assertion entrante, si l'utilisateur n'existe pas encore.

Par défaut, les utilisateurs créés à l'aide du provisionnement JIT SAML sont des utilisateurs "fédérés". Les utilisateurs fédérés ne disposent pas d'informations d'identification pour se connecter directement au domaine d'identité, mais doivent être authentifiés par le fournisseur d'identités externe. Vous pouvez modifier le statut fédéré d'un utilisateur à l'aide de la console d'administration et en mettant à jour l'attribut isFederatedUser à l'aide de l'API REST. Par exemple, vous pouvez modifier le statut fédéré des utilisateurs disposant de privilèges d'administrateur afin qu'ils puissent se connecter directement à la console. Si vous préférez que tous les utilisateurs créés à l'aide du provisionnement JIT SAML soient créés en tant qu'utilisateurs non fédérés (créés avec un mot de passe de connexion de domaine d'identité), définissez isFederatedUser=false dans la configuration des correspondances d'attributs JIT. Reportez-vous à attributeMappings dans le tableau ci-dessous.

"jitUserProvCreateUserEnabled": true,

Propriété booléenne indiquant si les attributs de l'utilisateur doivent être mis à jour, en fonction de l'assertion entrante, si l'utilisateur existe déjà.

"jitUserProvAttributeUpdateEnabled": true,

Il s'agit d'une référence à un objet MappedAttributes, qui définit la mise en correspondance des valeurs d'attribut d'assertion SAML IdP avec les attributs utilisateur de domaine d'identité, pour la création d'utilisateur dynamique et les mises à jour d'attribut utilisateur. (Défini lors de la création de IdentityProvider, ne mettez pas à jour cette référence.)

Reportez-vous ci-dessous pour plus de détails sur l'utilisation de jitUserProvAttributes de la ressource MappedAttributes.

Propriété booléenne indiquant si les appartenances aux groupes doivent être affectées à l'utilisateur en fonction d'une liste de noms de groupe reçus de IdP dans un attribut SAML.

Si cette propriété est true, la propriété jitUserProvGroupSAMLAttributeName doit être définie.

"jitUserProvGroupAssertionAttributeEnabled": true,

Propriété de chaîne qui contrôle la façon dont les groupes dans IdP sont mis en correspondance avec ceux du domaine d'identité. La valeur doit être l'une des suivantes :

explicite : les groupes IdP sont explicitement mis en correspondance avec les groupes du domaine d'identité à l'aide de la propriété de configuration jitUserProvGroupMappings.

implicite : les noms de groupe dans l'assertion SAML doivent correspondre aux noms de groupe dans le domaine d'identité.

La valeur par défaut est explicite si aucune valeur n'est spécifiée.

"jitUserProvGroupMappingMode": "explicit",

Tableau de correspondances entre les groupes de l'assertion IdP et les groupes du domaine d'identité.

Chaque objet du tableau représente un mappage entre un groupe IdP et un groupe de domaines d'identité.

idpGroup est l'identificateur de groupe dans l'assertion IdP et value est l'identificateur de groupe dans le domaine d'identité.

Le nombre maximal de mappages de groupe par IdP est de 250.

Remarque :

Lorsque vous utilisez le provisionnement juste à temps (JIT) SAML avec le mapping de groupe pour affecter ou enlever des autorisations de groupe pour un utilisateur, sachez que les modifications apportées à l'appartenance à un groupe peuvent ne pas être reflétées immédiatement. Cela est dû à la cohérence éventuelle, en particulier lors de l'accès aux fonctionnalités qui s'appuient sur le plan de données Identity, telles que la console OCI. Par conséquent, il peut y avoir un délai avant que les affectations ou les suppressions d'utilisateurs ne soient entièrement propagées aux groupes concernés. Les temps de propagation peuvent être plus longs pour les scénarios inter-région.

		"jitUserProvGroupMappings": [
   {
     "idpGroup": "7e18e37e-1b2f-46d9-9d9c-6df136570b27",
     "value": "4bce9b677ab447f18b65ba7bf9a61c21"
   },
   {
     "idpGroup": "cf6f7594-d454-40ac-971b-07cf0627ca17",
     "value": "6d8448a643b94b268d986e9d31e20cbc"
   }
 ]

Nom de l'attribut d'assertion SAML qui contiendra les groupes à affecter à l'utilisateur, si la propriété jitUserProvGroupAssertionAttributeEnabled est true.

"jitUserProvGroupSAMLAttributeName": "FederatedGroups",

Propriété booléenne indiquant si les appartenances aux groupes doivent être affectées à l'utilisateur en fonction d'une liste statique de noms de groupe.

Si cette propriété est true, la propriété jitUserProvAssignedGroups doit être définie.

"jitUserProvGroupStaticListEnabled": true,

Tableau de groupes à affecter à l'utilisateur, en plus des valeurs reçues dans l'assertion SAML, si la propriété jitUserProvGroupStaticListEnabled est true.

Remarque : les valeurs définies dans ce tableau sont des ID de groupe (et non des noms de groupe).

"jitUserProvAssignedGroups": 
[
{"value": "21f273857a304684a8f7e353e452a2e1"},
{"value": "1962687f74b84121b69c5560769e8b06"}
],

Propriété de chaîne qui contrôle la façon dont les appartenances aux groupes seront affectées à l'utilisateur dans le domaine d'identité. La valeur doit être l'une des suivantes :

"jitUserProvGroupAssignmentMethod": "Merge",

Propriété booléenne qui détermine l'action à effectuer lorsque l'attribut d'assertion entrant indique un groupe qui n'existe pas ou un groupe pour lequel aucune correspondance de groupe n'existe dans le domaine d'identité.

Si cette propriété a la valeur True, le groupe manquant est ignoré et l'utilisateur est créé.

Si cette propriété est fausse et qu'un groupe inexistant est spécifié, la création de l'utilisateur échouera.

La valeur par défaut est True pour le mode explicit et False pour le mode implicit spécifié à l'aide de jitUserProvGroupMappingMode.

"jitUserProvIgnoreErrorOnAbsentGroups": true,

Remarque : les noms d'attribut d'assertion SAML sont sensibles à la casse.

Nom de la ressource qui utilise/a une référence à cet attribut mis en correspondance (toujours IdentityProvider dans le cas du provisionnement JIT SAML, ne pas mettre à jour).

"refResourceType": "IdentityProvider",

Type de la ressource de domaine d'identité avec laquelle nous sommes en correspondance (toujours User dans le cas du provisionnement JIT SAML, ne pas mettre à jour).

"idcsResourceType": "User",

Direction de la mise en correspondance, par rapport à la ressource de domaine d'identité en question (toujours inbound dans le cas du provisionnement JIT SAML, ne pas mettre à jour).

"direction": "inbound",

ID de la ressource IdentityProvider qui contient une référence à cette ressource MappedAttribute (définie lors de la création, ne pas mettre à jour).

"refResourceID": "<IDP Resource ID>",