您可以将使用 OpenID Connect 身份验证协议的应用程序添加到 VMware Identity Manager,并像在目录中管理任何其他应用程序那样管理这些应用程序。您可以对每个应用程序应用访问策略,以指定如何基于网络范围和设备类型等条件对用户进行身份验证。添加应用程序后,可以将其分配给用户和组。
要添加 OpenID Connect 应用程序,需指定该应用程序的目标 URL、重定向 URL、客户端 ID 和客户端密码。
将 OpenID Connect 应用程序添加到目录时,会自动在 VMware Identity Manager 中为该应用程序创建一个 OAuth 2.0 客户端。该客户端使用您在添加应用程序时指定的配置信息创建,这些信息包括目标 URL、重定向 URL、客户端 ID 和客户端密码。所有其他参数均使用默认值。这些参数包括:
-
授予类型:authorization_code、refresh_token
- 范围:管理员、OpenID、用户
- 显示用户授予:false
- 访问令牌生存期 (TTL):3 小时
- 刷新令牌生存期 (TTL):已启用并设置为 90 天
- 刷新令牌空闲生存期 (TTL):4 天
您可以从客户端选项卡中查看应用程序的 OAuth 2.0 客户端。单击客户端名称可查看配置信息。请勿编辑客户端中的任何字段。
页上的
重要事项: 请勿删除与应用程序关联的 OAuth 2.0 客户端,否则用户将无法再使用该应用程序。
从目录中删除应用程序时,也会删除相应的 OAuth 2.0 客户端。
从 Workspace ONE 访问应用程序时的身份验证流程
用户单击 Workspace ONE 中的应用程序时,身份验证流程如下所示:
- 用户单击 Workspace ONE 中的应用程序。
- VMware Identity Manager 将用户重定向到目标 URL。
- 应用程序通过授权请求将用户重定向到 VMware Identity Manager。
- VMware Identity Manager 根据为应用程序指定的身份验证策略对用户进行身份验证。
- VMware Identity Manager 检查用户是否有权访问应用程序。
- VMware Identity Manager 将授权代码发送到重定向 URL。
- 应用程序使用授权代码请求访问令牌。
- VMware Identity Manager 将 ID 令牌、访问令牌和刷新令牌发送到应用程序。
直接从服务提供程序访问应用程序时的身份验证流程
用户直接从服务提供程序访问应用程序时,身份验证流程如下所示:
- 用户单击应用程序。
- 用户被重定向到 VMware Identity Manager 以进行身份验证。
- VMware Identity Manager 根据为应用程序指定的身份验证策略对用户进行身份验证。
- VMware Identity Manager 检查用户是否有权访问应用程序。
- VMware Identity Manager 将 ID 令牌发送到服务提供程序。