在为 Workspace ONE Access 部署添加和配置新的身份提供程序实例时,您可以提供高可用性,支持额外的用户身份验证方法,以及灵活地根据用户 IP 地址范围管理用户身份验证过程。

前提条件

  • 协调与第三方身份提供程序的集成。根据身份提供程序,您可能需要统一配置两者的设置。
  • 下载第三方元数据文档。表单可以是指向元数据的 URL 或实际元数据。

过程

  1. Workspace ONE Access 控制台的“身份和访问管理”选项卡中,选择身份提供程序
  2. 单击添加身份提供程序
  3. 编辑身份提供程序实例的设置。
    表单项目 描述
    身份提供程序名称 输入此身份提供程序实例的名称。
    SAML 元数据

    添加第三方身份提供程序基于 XML 的元数据文档,以便与身份提供程序建立信任关系。

    1. 在文本框中输入 SAML 元数据 URL 或 xml 内容。单击处理 IdP 元数据
    2. 选择如何标识用户。可以在主体或属性元素中发送在入站 SAML 断言中发送的标识符。
      • NameID 元素。将从主体元素的 NameID 元素中检索用户标识符。
      • SAML 属性。将从特定属性或 AttributeStatement 元素中检索用户标识符。
    3. 如果选择 NameID 元素,将从元数据中提取身份提供程序支持的 NameID 格式,并将其添加到显示的“名称 ID 格式”表中。
      • 名称 ID 值列中,选择在 Workspace ONE Access 服务中配置的用户属性以映射到显示的 NameID 格式。您可以添加自定义第三方名称 ID 格式并将其映射到 Workspace ONE Access 服务中的用户属性值。
      • 选择要使用的 SAML 请求中的名称 ID 策略响应标识符字符串格式。此格式必须与用于与 Workspace ONE Access 服务建立信任的第三方 IDP 的特定名称 ID 策略格式配置相匹配。
      • 选择用于当主体信息可用时,在 SAML 请求中发送主体信息的选项。
    4. 如果选择 SAML 属性,请包含“属性格式”和“属性名称”。在 Workspace ONE Access 服务中选择要映射到 SAML 属性的用户属性。
    Just-in-Time 置备 Just-in-Time 置备用户会在他们登录时根据身份提供程序发送的 SAML 断言进行动态创建和更新。请参阅“Just-in-Time 置备”。如果启用 JIT,请输入 JIT 目录的目录名称和域名。
    用户 选择包含可使用此身份提供程序进行身份验证的用户的目录。
    网络 此处列出了在服务中配置的现有网络范围。

    根据用户 IP 地址,选择要定向到此身份提供程序实例进行身份验证的用户的网络范围。

    身份验证方法 添加受第三方身份提供程序支持的身份验证方法。选择支持身份验证方法的 SAML 身份验证上下文类。
    单点注销配置

    用户从第三方身份提供程序 (Identity Provider, IDP) 登录 Workspace ONE 时,会打开两个会话,一个会话关于第三方身份提供程序,第二个会话关于 Workspace ONE 的 Identity Manager 服务提供程序。这两个会话的生命周期是单独管理的。用户注销 Workspace ONE 时,Workspace ONE 会话会关闭,但第三方 IDP 会话可能仍打开。根据您的安全要求,您可以启用单点注销,并将单点注销配置为注销这两个会话,或者也可以保持第三方 IDP 会话不变。

    配置选项 1

    • 您可以在配置第三方身份提供程序时启用单点注销。如果第三方身份提供程序支持基于 SAML 的单点注销协议 (SLO),从 Workspace ONE 门户中注销用户时,将从这两个会话中注销用户。不配置“重定向 URL”文本框。
    • 如果第三方 IDP 不支持基于 SAML 的单点注销,则启用单点注销,并在“重定向 URL”文本框中指定 IDP 单点注销端点 URL。您还可以在将用户发送到特定端点的 URL 之后添加重定向参数。用户从 Workspace ONE 门户注销,同时从 IDP 注销时,会被重定向到此 URL。

    配置选项 2

    • 另一个单点注销选项是将用户从其 Workspace ONE 门户注销,并将他们重定向到自定义的端点 URL。您需要启用单点注销,在“重定向 URL”文本框中指定此 URL,以及自定义端点的重定向参数。用户从 Workspace ONE 门户注销时,会被重定向到此页面,此页面中可以显示自定义消息。第三方 IDP 会话可能仍处于打开状态。此 URL 以 https://<vidm-access-url>/SAAS/auth/federation/slo 格式输入。

    如果未启用“启用单点注销”,Workspace ONE Access 服务中的默认配置是当用户注销时,将用户定向回 Workspace ONE 门户登录页面。第三方 IDP 会话可能仍处于打开状态。

    SAML 签名证书 单击服务提供程序 (SP) 元数据以查看 Workspace ONE Access SAML 服务提供程序元数据 URL。复制并保存该 URL。在第三方身份提供程序中编辑 SAML 断言以映射 Workspace ONE Access 用户时,将配置该 URL。
    IdP 主机名 如果显示“主机名”文本框,请输入为进行身份验证而将身份提供程序重定向到的主机名。如果使用 443 以外的非标准端口,则可以将主机名设置为“主机名:端口”。例如,myco.example.com:8443。
  4. 单击添加

后续步骤