Das Erstellen der allgemeinen PingFederate-Konfiguration umfasst das Erstellen des Zugriffstokenmanagers, des objectID-Attributs, der OpenID Connect-Richtlinie und der OAuth-Clientanwendung.

Voraussetzungen

Führen Sie die folgende Aufgabe aus:

Melden Sie sich mit einem Administratorkonto bei der PingFederate-Verwaltungskonsole an.

Prozedur

  1. Erstellen Sie den Zugriffstokenmanager.
    1. Navigieren Sie zu Anwendungen > OAuth > Zugriffstoken-Management.
    2. Klicken Sie auf Neue Instanz erstellen.
    3. Auf der Registerkarte Typ:
      • Instanzname: Geben Sie einen Instanznamen ein. Beispiel: vIDB-Zugriffstokenmanager.
      • Instanz-ID: Geben Sie die Instanz-ID ein. Beispiel: vIDB.
      • Typ: Wählen Sie JSON Web Token aus.
      • Übergeordnete Instanz: Behalten Sie die Standardeinstellung Keine bei.
    4. Auf der Registerkarte Instanzkonfiguration:
      • Zentralen Signaturschlüssel verwenden: Aktivieren Sie das Kontrollkästchen.

        Wenn dieses Kontrollkästchen deaktiviert ist, erwartet PingFederate, dass „Aktive Signaturzertifikat-Schlüssel-ID“ konfiguriert wird.

      • JWS-Algorithmus: Wählen Sie einen Algorithmus aus. Beispiel: RSA mit SHA-256.
      • Klicken Sie unten auf dem Bildschirm auf Erweiterte Felder anzeigen.
        • JWT-ID-Anspruchslänge: Fügen Sie eine Zahl größer als Null (0) hinzu. Beispiel: 24. Wenn Sie keinen Wert eingeben, wird der JTI-Anspruch im Zugriffstoken ausgelassen.
    5. Klicken Sie auf Weiter.
    6. Auf der Registerkarte Zugriffstoken-Attributvertrag:
      • Fügen Sie im Textfeld Vertrag erweitern die folgenden Ansprüche hinzu, die im Ping-Zugriffstoken generiert werden sollen. Klicken Sie auf Hinzufügen, nachdem Sie jeden Anspruch eingegeben haben.
        • aud
        • iss
        • exp
        • iat
        • userName
      • Attributname des Antragstellers: Wählen Sie einen Anspruch aus, der zu Überprüfungszwecken verwendet werden soll. Beispiel: iss.
    7. Klicken Sie zweimal auf Weiter um die Registerkarten Ressourcen-URIs und Zugriffssteuerung zu überspringen.
    8. Klicken Sie auf Speichern.
  2. Fügen Sie das objectGUID-Attribut hinzu.
    1. Navigieren Sie zu System > Datenspeicher > Ihr Datenspeicher > LDAP-Konfiguration.
    2. Klicken Sie auf der Registerkarte LDAP-Konfiguration unten auf Erweitert.
    3. Verwenden Sie auf der Registerkarte LDAP-Binärattribute im Namensfeld Binärattribut die Option objectGUID und klicken Sie auf Hinzufügen.
    4. Klicken Sie auf Speichern.
  3. Erstellen Sie die OpenID Connect-Richtlinie.
    1. Navigieren Sie zu Anwendungen > OAuth > OpenID Connect-Richtlinienverwaltung.
    2. Klicken Sie auf Richtlinie hinzufügen.
    3. Auf der Registerkarte Richtlinie verwalten:
      • Richtlinien-ID: Geben Sie eine Richtlinien-ID ein. Beispiel: OIDC.
      • Name: Geben Sie einen Richtliniennamen ein. Beispiel: OIDC-Richtlinie.
      • Zugriffstokenmanager: Wählen Sie den zuvor erstellten Zugriffstokenmanager aus. Beispiel: vIDB-Zugriffstokenmanager.
    4. Klicken Sie auf Weiter.
    5. Auf der Registerkarte Attributvertrag:
      • Klicken Sie auf Löschen um alle Attribute außer sub zu entfernen. Andernfalls müssen Sie die Attribute zu einem späteren Zeitpunkt einem Wert auf der Registerkarte Vertragserfüllung zuordnen.
    6. Klicken Sie auf Weiter und dann erneut auf Weiter, um die Registerkarte Attributgeltungsbereich zu überspringen.
    7. Klicken Sie auf der Registerkarte Attributquellen und Benutzersuche auf Attributquelle hinzufügen.
      Nachdem Sie die Informationen auf allen folgenden Registerkarten eingegeben haben, klicken Sie zum Fortfahren auf Weiter.
      • Datenspeicher:
        • Attributquellen-ID: Geben Sie eine Attributquellen-ID ein. Beispiel: vIDBLDAP.
        • Attributquellen-Beschreibung: Geben Sie eine Beschreibung ein. Beispiel: vIDBLDAP.
        • Aktiver Datenspeicher: Wählen Sie ihren Active Directory- oder OpenLDAP-Domänennamen aus dem Dropdown-Menü aus.
      • LDAP-Verzeichnissuche:
        • Basis-DN: Geben Sie Ihren Basis-DN ein, um Ihre Benutzer und Gruppen zu finden.
        • Suchbereich: Behalten Sie die Standardeinstellung Unterstruktur bei.
        • Von der Suche zurückgegebene Attribute: Wählen Sie <Alle Attribute anzeigen> und dann objectGUID aus.

          Klicken Sie auf Attribute hinzufügen.

      • Kodierungstypen für LDAP-Binärattribute:
        • ObjectGUID: Wählen Sie Hex für den Attribut-Kodierungstyp aus.
      • LDAP-Filter:
        • Filter: Geben Sie einen Filter ein. Beispiel: userPrincipalName=${userName}.
    8. Klicken Sie auf der Seite Übersicht auf Fertig
    9. Klicken Sie auf Weiter, um fortzufahren, und ordnen Sie auf der Registerkarte Vertragserfüllung den Attributvertrag für das ID-Token zu:
      Attributvertrag Quelle Wert
      sub Wählen Sie die zuvor erstellte Attributquellen-ID aus. In dieser Dokumentation wird als Beispiel vIDBLDAP verwendet. objectGUID
    10. Klicken Sie auf Weiter und dann erneut auf Weiter, um die Registerkarte Versicherungskriterien zu überspringen.
    11. Klicken Sie auf Speichern.
  4. Erstellen Sie die OAuth-Clientanwendung.
    1. Navigieren Sie zu Anwendungen > OAuth > Clients.
    2. Klicken Sie auf Client hinzufügen.
    3. Auf der Seite Clients | Client:
      • Client-ID: Geben Sie die Client-ID ein. Beispiel: vIDB.
        Hinweis: Kopieren und speichern Sie die Client-ID für die spätere Verwendung beim Erstellen des vCenter Server-Identitätsanbieters für PingFederate.
      • Name: Geben Sie einen Namen ein. Beispiel: vIDB.
      • Clientauthentifizierung: Wählen Sie Geheimer Clientschlüssel aus.
        • Geheimer Clientschlüssel: Sie können Ihren eigenen geheimen Clientschlüssel eingeben oder einen geheimen Schlüssel generieren. Nachdem Sie diese Seite verlassen, können Sie den geheimen Schlüssel nicht mehr anzeigen. Sie haben nur die Möglichkeit, den geheimen Schlüssel zu ändern.
          Hinweis: Kopieren und speichern Sie den geheimen Schlüssel für die spätere Verwendung beim Erstellen des vCenter Server-Identitätsanbieters.
      • Umleitungs-URIs: Geben Sie die Umleitungs-URIs im folgenden Format ein: https://vCenter_Server_FQDN:p ort/federation/t/CUSTOMER/auth/response/oauth2.
        • Klicken Sie auf Hinzufügen.
      • Zulässige Gewährungstypen: Überprüfen Sie Autorisierungscode, Aktualisierungstoken, Client-Anmeldedaten und Ressourcenbesitzerkennwort.
      • Standard-Zugriffstokenmanager: Wählen Sie den zuvor erstellten Zugriffstokenmanager aus. In dieser Dokumentation wird beispielsweise der vIDB-Zugriffstokenmanager verwendet.
      • OpenID Connect: Wählen Sie bei Richtlinie die zuvor erstellte Richtlinie aus. In dieser Dokumentation wird beispielsweise OIDC verwendet.
    4. Klicken Sie auf Speichern.

Nächste Maßnahme

Fahren Sie mit Erstellen der Ablaufkonfiguration für die Kennworterteilung fort.