在为 VMware Identity Manager 部署添加和配置新的身份提供程序实例时，您可以提供高可用性，支持额外的用户身份验证方法，以及灵活地根据用户 IP 地址范围管理用户身份验证过程。
前提条件
- 有权访问第三方元数据文档。访问可以是指向元数据的 URL 或实际元数据。
过程
- 在 VMware Identity Manager 控制台的“身份和访问管理”选项卡中，选择身份提供程序。
- 单击添加身份提供程序。
- 编辑身份提供程序实例的设置。
表单项目 描述 身份提供程序名称 输入此身份提供程序实例的名称。 SAML 元数据 添加第三方身份提供程序基于 XML 的元数据文档，以便与身份提供程序建立信任关系。
- 在文本框中输入 SAML 元数据 URL 或 xml 内容。单击处理 IdP 元数据。
- 选择如何标识用户。可以在主体或属性语句中发送在入站 SAML 断言中发送的标识符。
- NameID 元素。将在 SAML 属性语句中检索 NameID 元素。
- SAML 属性。
- 如果选择“SAML 属性”，将从元数据中提取身份提供程序支持的 NameID 格式，并将其添加到“名称 ID 格式”表中。
- 在名称 ID 值列中，选择该服务中的用户属性以映射到显示的 ID 格式。您可以添加自定义第三方名称 ID 格式并将其映射到服务中的用户属性值。
- （可选）选择 NameID 策略响应标识符字符串格式。
Just-in-Time 置备 不适用 用户 选择其他目录，其中包括可使用该身份提供程序进行身份验证的用户。 网络 此处列出了在服务中配置的现有网络范围。 根据用户 IP 地址，选择要定向到此身份提供程序实例进行身份验证的用户的网络范围。
身份验证方法 添加受第三方身份提供程序支持的身份验证方法。选择支持身份验证方法的 SAML 身份验证上下文类。 单点注销配置 用户从第三方身份提供程序 (Identity Provider, IDP) 登录 Workspace ONE 时，会打开两个会话，一个会话关于第三方身份提供程序，第二个会话关于 Workspace ONE 的 Identity Manager 服务提供程序。这两个会话的生命周期是单独管理的。用户注销 Workspace ONE 时，Workspace ONE 会话会关闭，但第三方 IDP 会话可能仍打开。根据您的安全要求，您可以启用单点注销，并将单点注销配置为注销这两个会话，或者也可以保持第三方 IDP 会话不变。
配置选项 1
- 您可以在配置第三方身份提供程序时启用单点注销。如果第三方身份提供程序支持基于 SAML 的单点注销协议 (SLO)，从 Workspace ONE 门户中注销用户时，将从这两个会话中注销用户。不配置“重定向 URL”文本框。
- 如果第三方 IDP 不支持基于 SAML 的单点注销，则启用单点注销，并在“重定向 URL”文本框中指定 IDP 单点注销端点 URL。您还可以在将用户发送到特定端点的 URL 之后添加重定向参数。用户从 Workspace ONE 门户注销，同时从 IDP 注销时，会被重定向到此 URL。
配置选项 2
- 另一个单点注销选项是将用户从其 Workspace ONE 门户注销，并将他们重定向到自定义的端点 URL。您需要启用单点注销，在“重定向 URL”文本框中指定此 URL，以及自定义端点的重定向参数。用户从 Workspace ONE 门户注销时，会被重定向到此页面，此页面中可以显示自定义消息。第三方 IDP 会话可能仍处于打开状态。此 URL 以 https://<vidm-access-url>/SAAS/auth/federation/slo 格式输入。
如果未启用“启用单点注销”，VMware Identity Manager 服务中的默认配置是当用户注销时，将被重定向回到 Workspace ONE 门户登录页面。第三方 IDP 会话可能仍处于打开状态。
SAML 签名证书 单击服务提供程序 (SP) 元数据以查看 VMware Identity Manager SAML 服务提供程序元数据 URL。复制并保存该 URL。在第三方身份提供程序中编辑 SAML 断言以映射 VMware Identity Manager 用户时，将配置该 URL。 IdP 主机名 如果显示“主机名”文本框，请输入为进行身份验证而将身份提供程序重定向到的主机名。如果使用 443 以外的非标准端口，则可以将主机名设置为“主机名:端口”。例如，myco.example.com:8443。 - 单击添加。
后续步骤
- 编辑第三方身份提供程序的配置以添加保存的 SAML 签名证书 URL。
