Remarque :

Configurer le provisionnement juste à temps pour le fournisseur d'identités basé sur SAML dans IDCS/domaines d'identité

Introduction

Le provisionnement juste à temps (JIT) basé sur SAML permet d'automatiser la création d'identités utilisateur dans Identity Cloud Service pour les nouveaux utilisateurs. Les comptes utilisateur sont créés lorsque l'utilisateur tente d'accéder à l'application cible via SSO. Outre la création d'utilisateurs, JIT peut également accorder et révoquer des appartenances à des groupes dans le cadre du provisionnement. JIT peut également être utilisé pour mettre à jour les utilisateurs provisionnés via la mise en correspondance des attributs source (Fournisseur de services - SP) avec le fournisseur d'identités.

En activant le provisionnement JIT pour votre fournisseur d'identités avec IDCS, vous pourrez gérer les utilisateurs plus efficacement et cela vous aidera à réduire le coût d'administration de la synchronisation manuelle des utilisateurs.

Avantages de l'utilisation du provisionnement JIT

Objectif

Configurer le provisionnement juste à temps pour un fournisseur d'identités basé sur SAML dans IDCS/domaines d'identité via des API REST.

Remarque : si votre location est déjà migrée vers des domaines d'identité et que vous souhaitez effectuer cette configuration via la console, reportez-vous au lien suivant : Ajout d'un SAML juste à temps IdP.

Prérequis

Tâche 1 : extraction de la liste des fournisseurs d'identités configurés dans votre location IDCS/Domaines d'identité

Tâche 2 : extraire les détails du fournisseur d'identités SAML configuré

Extrayez les détails du fournisseur d'identités SAML configuré dans lequel vous souhaitez activer le provisionnement JIT à l'aide de l'ID de fournisseur situé à partir de la tâche 1.

Tâche 3 : mise à jour des paramètres du fournisseur d'identités pour activer le provisionnement JIT

Mettez à jour les paramètres du fournisseur IDP pour activer le provisionnement JIT pour votre fournisseur d'identités SAML à l'aide d'une opération PATCH.

Remarque :

Exemple de corps :

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "replace",
      "path": "jitUserProvEnabled",
      "value": true
    },{
      "op": "replace",
      "path": "jitUserProvCreateUserEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvAttributeUpdateEnabled",
      "value": true
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssertionAttributeEnabled",
      "value": false
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupSAMLAttributeName",
      "value": "groups"
    },
    {
      "op": "replace",
      "path": "jitUserProvGroupAssignmentMethod",
      "value": "Overwrite"
    }
  ]
}

Le tableau suivant décrit les propriétés du fournisseur d'identités mentionnées ci-dessus.

Propriété de fournisseur d'identités Description
jitUserProvEnabled Propriété booléenne permettant d'activer/de désactiver la fonction de provisionnement JIT SAML pour le fournisseur d'identités configuré.
jitUserProvCreateUserEnabled Propriété booléenne pour la création d'utilisateur, basée sur l'assertion entrante, si l'utilisateur n'existe pas encore.
jitUserProvAttributeUpdateEnabled Propriété booléenne pour la mise à jour utilisateur basée sur l'assertion entrante si l'utilisateur existe déjà.
jitUserProvGroupAssertionAttributeEnabled Propriété booléenne indiquant si les appartenances à un groupe doivent être affectées à l'utilisateur en fonction d'une liste de noms de groupe reçus du fournisseur d'identités dans un attribut SAML.
jitUserProvGroupSAMLAttributeName Nom de l'attribut d'assertion SAML qui contiendra les groupes à affecter à l'utilisateur, si la propriété jitUserProvGroupAssertionAttributeEnabled a la valeur True.
jitUserProvGroupAssignmentMethod Propriété de chaîne qui contrôle la façon dont les appartenances au groupe seront affectées à l'utilisateur Identity Cloud Service : Ecraser/fusionner.

Après cette opération, le provisionnement JIT doit être activé pour le fournisseur d'identités SAML et vous pouvez le confirmer en exécutant l'opération GET mentionnée dans la tâche 2. L'image suivante présente un exemple de sortie.

Image 3

Vous obtenez ainsi l'ID d'attribut mis en correspondance qui sera utilisé dans l'adresse suivante pour mettre en correspondance les attributs de SP avec les attributs de fournisseur d'identités.

Image 4

Tâche 4 : définissez le mappage jitUserProvAttributes du fournisseur d'identités SAML pour le provisionnement des utilisateurs

Après avoir activé le provisionnement JIT pour votre fournisseur d'identités SAML, l'étape suivante consiste à mettre en correspondance les attributs de fournisseur de services avec les attributs de fournisseur d'identités. Utilisez l'ID d'attribut mappé de la tâche 3 avec l'adresse REST décrite dans cette section.

Remarque :

Tâche 5 : configuration de l'attribut de mise à jour de correspondance jitUserProvAttributes

Configurez l'attribut jitUserProvAttributes Mapping Update à partir du fournisseur de services - SP vers le fournisseur d'identités - IDP.

Tâche 6 : test du provisionnement JIT

  1. Dans une nouvelle session de navigateur, essayez de vous connecter à IDCS sur ma console.
  2. IDCS affiche l'écran de connexion.
  3. Sélectionnez le fournisseur d'identités configuré qui est maintenant activé avec le provisionnement JIT.
  4. IDCS vous redirige vers la page de connexion du fournisseur d'identités pour vous connecter.
  5. Entrez les informations d'identification valides de l'utilisateur qui n'existe pas dans IDCS.
  6. Après une connexion réussie, vous devez acheminer vers IDCS l'écran de ma console.
  7. Validez via le compte d'administration que l'utilisateur a été créé avec succès dans IDCS.

Remerciements

Auteur - Chetan Soni (ingénieur solutions cloud)

Ressources de formation supplémentaires

Explorez d'autres ateliers sur docs.oracle.com/learn ou accédez à davantage de contenu de formation gratuit sur le canal Oracle Learning YouTube. En outre, accédez à education.oracle.com/learning-explorer pour devenir un explorateur Oracle Learning.

Pour consulter la documentation produit, consultez Oracle Help Center.