SAML JITプロビジョニングの構成

このIdPのSAML JITプロビジョニング機能を有効/無効にするブール・プロパティ。

"jitUserProvEnabled": true,

ユーザーがまだ存在しない場合に、受信するアサーションに基づいてユーザーを作成するかどうかを示すブール・プロパティ。

デフォルトでは、SAML JITプロビジョニングを使用して作成されたユーザーはフェデレーテッド・ユーザーです。フェデレーテッド・ユーザーには、アイデンティティ・ドメインに直接サインインするための資格証明がありませんが、かわりに外部アイデンティティ・プロバイダによって認証される必要があります。ユーザーのフェデレーテッド・ステータスは、管理コンソールを使用して変更でき、REST APIを使用してisFederatedUser属性を更新できます。たとえば、管理者権限を持つユーザーのフェデレーテッド・ステータスを変更して、コンソールに直接サインインできます。SAML JITプロビジョニングを使用して作成されたすべてのユーザーを(アイデンティティ・ドメインのサインイン・パスワードを使用して作成された)非フェデレーテッド・ユーザーとして作成する場合は、JIT属性マッピング構成でisFederatedUser=falseを設定します。次の表のattributeMappingsを参照してください。

"jitUserProvCreateUserEnabled": true,

ユーザーがすでに存在する場合に、受信するアサーションに基づいてユーザーの属性を更新するかどうかを示すブール・プロパティ。

"jitUserProvAttributeUpdateEnabled": true,

これは、動的ユーザー作成とユーザー属性のアップデートの両方について、IdP SAMLアサーション属性値とアイデンティティ・ドメイン・ユーザー属性のマッピングを定義するMappedAttributesオブジェクトへの参照です。(IdentityProviderの作成時に設定し、この参照を更新しないでください。)

MappedAttributesリソースのjitUserProvAttributesの使用方法の詳細は、次を参照してください。

SAML属性のIdPから受信したグループ名のリストに基づいて、グループ・メンバーシップがユーザーに割り当てるかどうかを示すブール・プロパティ。

このプロパティがtrueの場合は、プロパティjitUserProvGroupSAMLAttributeNameを設定する必要があります。

"jitUserProvGroupAssertionAttributeEnabled": true,

IdP内のグループをアイデンティティ・ドメイン内のグループにマップする方法を制御する文字列プロパティ。値は次のいずれかにする必要があります:

明示的 - IdPグループは、構成プロパティjitUserProvGroupMappingsを使用してアイデンティティ・ドメインのグループに明示的にマップされます。

暗黙的 - SAMLアサーションのグループ名は、アイデンティティ・ドメインのグループ名と一致する必要があります。

値が指定されていない場合は、デフォルトで explicitに設定されます。

"jitUserProvGroupMappingMode": "explicit",

IdPアサーション内のグループとアイデンティティ・ドメイン内のグループ間のマッピングの配列。

配列内のすべてのオブジェクトは、IdPグループとアイデンティティ・ドメイン・グループ間のマッピングを表します。

idpGroupはIdPアサーションのグループ識別子で、valueはアイデンティティ・ドメインのグループ識別子です。

IdP当たりのグループ・マッピングの最大数は250です。

ノート:

グループ・マッピングを使用したSAMLジャストインタイム(JIT)プロビジョニングを使用して、ユーザーのグループ権限を割り当てたり削除したりする場合は、グループ・メンバーシップへの変更がすぐに反映されない可能性があることに注意してください。これは、特にOCIコンソールなどのアイデンティティ・データ・プレーンに依存する機能にアクセスする場合の、最終的な一貫性によるものです。その結果、ユーザー割当てまたは削除が関連グループに完全に伝播されるまでに遅延が発生する可能性があります。リージョン間のシナリオでは、伝播時間が長くなる場合があります。

		"jitUserProvGroupMappings": [
   {
     "idpGroup": "7e18e37e-1b2f-46d9-9d9c-6df136570b27",
     "value": "4bce9b677ab447f18b65ba7bf9a61c21"
   },
   {
     "idpGroup": "cf6f7594-d454-40ac-971b-07cf0627ca17",
     "value": "6d8448a643b94b268d986e9d31e20cbc"
   }
 ]

プロパティjitUserProvGroupAssertionAttributeEnabledがtrueの場合に、ユーザーに割り当てるグループを含むSAMLアサーション属性の名前。

"jitUserProvGroupSAMLAttributeName": "FederatedGroups",

グループ名の静的リストに基づいて、グループ・メンバーシップにユーザーに割り当てるかどうかを示すブール・プロパティ。

このプロパティがtrueの場合は、プロパティjitUserProvAssignedGroupsを設定する必要があります。

"jitUserProvGroupStaticListEnabled": true,

プロパティjitUserProvGroupStaticListEnabledがtrueの場合、SAMLアサーションで受信される値に加えて、ユーザーに割り当てるグループの配列。

ノート:この配列に設定されている値はグループID (グループ名ではない)です。

"jitUserProvAssignedGroups": 
[
{"value": "21f273857a304684a8f7e353e452a2e1"},
{"value": "1962687f74b84121b69c5560769e8b06"}
],

グループ・メンバーシップをアイデンティティ・ドメインのユーザーにどのように割り当てるか制御する文字列プロパティ。値は次のいずれかにする必要があります:

"jitUserProvGroupAssignmentMethod": "Merge",

受信アサーション属性が存在しないグループ、またはグループ・マッピングがアイデンティティ・ドメインに存在しないグループを指定した場合に実行するアクションを決定するブール・プロパティ。

このプロパティがtrueの場合、欠落しているグループは無視され、ユーザーが作成されます。

このプロパティがfalseで、存在しないグループが指定されている場合、ユーザーの作成は失敗します。

明示的モードではデフォルトでtrue、jitUserProvGroupMappingModeを使用して指定された暗黙的モードではfalseになります。

"jitUserProvIgnoreErrorOnAbsentGroups": true,

ノート: SAMLアサーション属性名では、大/小文字が区別されます。

このマップ済属性を使用している、または参照しているリソースの名前(SAML JITプロビジョニングの場合は常にIdentityProvider、更新しない)。

"refResourceType": "IdentityProvider",

マッピング先のアイデンティティ・ドメイン・リソースのタイプ(SAML JITプロビジョニングの場合は常にUser、更新しないでください)。

"idcsResourceType": "User",

問題のアイデンティティ・ドメイン・リソースに関するマッピングの方向(SAML JITプロビジョニングの場合は常にinbound、更新しない)。

"direction": "inbound",

このMappedAttributeリソースへの参照が含まれるIdentityProviderリソースのID (作成時に設定され、更新されません)。

"refResourceID": "<IDP Resource ID>",