| Имя поставщика удостоверений |
Введите имя этого экземпляра поставщика удостоверений. |
| Метаданные SAML |
Добавьте XML-документ с метаданными сторонних поставщиков удостоверений для установления отношения доверия с поставщиком удостоверений.
- а.Введите в текстовое поле URL-адрес метаданных SAML или xml-содержимое. Щелкните Обработка метаданных поставщика удостоверений.
- б.Выберите способ идентификации пользователя. Идентификатор, отправленный во входящем утверждении SAML, может быть отправлен в субъекте или элементе атрибута.
- Элемент NameID. Идентификатор пользователя извлекается из элемента NameID субъекта.
- Атрибут SAML. Идентификатор пользователя извлекается из конкретного атрибута или элемента AttributeStatement.
- в.Если выбран элемент NameID, форматы NameID, поддерживаемые поставщиком удостоверений, извлекаются из метаданных и добавляются в отображаемую таблицу «Форматы идентификаторов имен».
- В столбце Значение идентификатора имени выберите атрибуты пользователя, настроенные в службе Workspace ONE Access, для сопоставления с отображаемыми форматами NameID. Можно добавлять настраиваемые форматы идентификаторов имен сторонних поставщиков и сопоставлять их со значениями атрибутов пользователей в службе Workspace ONE Access.
- Выберите необходимый формат строки идентификатора ответа: Политика идентификаторов имени в запросах SAML. Этот формат должен совпадать с заданной конфигурацией формата политики идентификаторов имени стороннего поставщика удостоверений, используемого для установления отношений доверия со службой Workspace ONE Access.
- (Только в облачной версии) Выберите параметр Отправить сведения о субъекте в запросе SAML (при наличии) в качестве подсказки для входа или в качестве подсказки для проверки подлинности, например многофакторной проверки подлинности. Если этот параметр включен, можно также включить параметр Отправить значение сведений о субъекте на основе сопоставления формата NameID для сопоставления подсказки для входа, предоставленной сторонним приложением, со значением NameID.
Примечание: В случае включения параметра «Отправить значение сведений о субъекте на основе сопоставления формата NameID» служба Workspace ONE Access подвергается угрозе безопасности, известной как атака перечисления (user enumeration). Будьте осторожны при включении этого параметра.
Пример конфигурации с включенным параметром «Отправить значение сведений о субъекте на основе сопоставления формата NameID» Конфигурация стороннего поставщика удостоверений
Процесс проверки подлинности конечных пользователей
- Конечный пользователь выбирает приложение «X».
- Приложение «X» отображает страницу входа, на которой конечный пользователь вводит свой адрес электронной почты.
- Приложение «X» отправляет в Workspace ONE Access адрес электронной почты в качестве подсказки для входа.
- Поскольку параметр «Отправить значение сведений о субъекте на основе сопоставления формата NameID» включен, Workspace ONE Access принимает адрес электронной почты и находит атрибут UserPrincipleName для этого пользователя.
- Workspace ONE Access отправляет запрос SAML с соответствующим атрибутом UserPrincipleName, сопоставленным со сторонним поставщиком удостоверений, который отвечает за проверку подлинности конечного пользователя.
- г.Если выбран параметр Атрибут SAML, укажите формат атрибута и его имя. Выберите атрибут пользователя в службе Workspace ONE Access, чтобы сопоставить его с атрибутом SAML.
|
| Моментальная регистрация |
В ходе моментальной регистрации пользователи создаются и обновляются динамически. Это происходит, когда они выполняют вход на основе утверждений SAML, отправленных поставщиком удостоверений. См. раздел Как работает моментальная регистрация пользователей в Workspace Access. Если включен параметр JIT, введите каталог и имя домена для каталога JIT. |
| Пользователи |
Выберите каталоги, включающие пользователей, которые могут проходить проверку подлинности с помощью этого поставщика удостоверений. |
| Сеть |
Перечисляются существующие сетевые диапазоны, настроенные в службе. Выберите сетевые диапазоны для пользователей на основе их IP-адресов, которые вы хотите направлять в этот экземпляр поставщика удостоверений для проверки подлинности. |
| Способы проверки подлинности |
Введите имя метода проверки подлинности, которое нужно связать с этим сторонним поставщиком удостоверений. Можно ввести несколько методов проверки подлинности, чтобы связать их со сторонним поставщиком удостоверений. Предоставьте каждому методу проверки подлинности понятное имя, которое идентифицирует метод проверки подлинности. Выберите имя метода проверки подлинности в политике доступа, чтобы настроить правила для стороннего метода проверки подлинности поставщика удостоверений. Сопоставляет имя метода проверки подлинности с контекстом проверки подлинности SAML в ответе SAML. В раскрывающемся меню выберите строку класса контекста проверки подлинности SAML из списка часто используемых строк или введите настраиваемую строку. |
| Конфигурация единого выхода |
Когда пользователи входят в Workspace ONE с помощью стороннего поставщика удостоверений, открываются два сеанса: один для стороннего поставщика удостоверений, а второй для поставщика службы средства управления учетными данными для Workspace ONE. Управление временем действия этих сеансов осуществляется независимо. Когда пользователи выходят из Workspace ONE, сеанс Workspace ONE закрывается, но сеанс стороннего поставщика удостоверений все еще может быть открыт. В зависимости от требований безопасности можно включить единый выход и настроить его так, чтобы выходить из обоих сеансов, или же не реагировать на сеанс стороннего поставщика удостоверений. Вариант настройки 1
- Единый выход можно включить при настройке стороннего поставщика удостоверений. Если сторонний поставщик удостоверений поддерживает протокол единого выхода (SLO) на основе SAML, пользователи будут выходить из обоих сеансов при выходе c портала Workspace ONE. Текстовое поле URL-адреса перенаправления не настраивается.
- Если сторонний поставщик удостоверений не поддерживает единый выход на основе SAML, можно включить единый выход, а в текстовом поле URL-адреса перенаправления указать URL-адрес конечной точки единого выхода поставщика удостоверений. Можно также добавить для URL-адреса параметр перенаправления, чтобы перенаправлять пользователей в определенную конечную точку. Пользователи перенаправляются по этому URL-адресу при выходе с портала Workspace ONE. При этом они также выходят из службы поставщика удостоверений.
Вариант настройки 2
- Еще один вариант единого выхода — выполнить выход пользователей с портала Workspace ONE и перенаправить их по URL-адресу настроенной конечной точки. Нужно включить единый выход, указать URL-адрес в текстовом поле URL-адреса перенаправления и параметр перенаправления к настроенной конечной точке. Когда пользователи выходят с портала Workspace ONE, они направляются на эту страницу, где может отображаться настроенное сообщение. Сеанс со сторонним поставщиком удостоверений может оставаться открытым. Укажите URL-адрес в следующем формате: https://<URL-адрес_доступа_VIDM>/SAAS/auth/federation/slo.
Если единый выход не включен, конфигурация по умолчанию в службе Workspace ONE Access будет перенаправлять пользователей обратно на страницу входа на портал Workspace ONE при их выходе из системы. Сеанс со сторонним поставщиком удостоверений может оставаться открытым. |
| Сертификат подписи SAML |
Щелкните Метаданные поставщика услуг (SP) , чтобы увидеть URL-адрес для метаданных поставщика услуг SAML Workspace ONE Access. Скопируйте и сохраните URL-адрес. Этот URL-адрес указывается при редактировании оператора контроля SAML в стороннем поставщике удостоверений для сопоставления с пользователями Workspace ONE Access. |
| Имя узла поставщика удостоверений |
Если отображается текстовое поле «Имя узла», введите имя узла, куда перенаправляется поставщик удостоверений для проверки подлинности. Если используется нестандартный порт, отличный от 443, имя узла можно указать как «Имя_узла:Порт». Например, myco.example.com:8443. |
