Määritä: Secure Access (ESA) ESM-roolien määritystä varten
Configure either EPE or ESA to assign ESM Roles for users
Määritä: Secure Access (ESA) ESM-roolien määritystä varten
Configure either EPE or ESA to assign ESM Roles for users
Tämä artikkeli kuvaa, miten Secure Access (ESA) määritetään linkittämään sovellus-/hakemistoryhmä ESM-rooliin.
Huomio!
Huomaa, että Secure Access (ESA) tarvitsee harvoin ryhmätietoja, koska niitä hallitaan yleensä Native Connectorsin (EPE) kautta. EPE tuo yleensä MemberOf-tiedot ESM:ään ja sieltä edelleen ESS:ään.
Kaikkien ryhmänimien ja -tunnusten on tultava identiteetintarjoajalta (IdP).
Käyttäjän käyttöoikeustasot (userLevel) määräytyvät IdP:n tarjoamien ryhmäjäsenyyksien perusteella.
ESM-roolit määritetään ulkoisten tunnisteiden kautta, jotka yhdistävät IdP-ryhmät ratkaisun rooleihin.
ESM-roolien määritys automatisoituu täysin käyttäjän IdP-ryhmien perusteella.
Huomio!
Älä koskaan liitä käyttäjänimiä näihin sääntöihin. Roolien käyttöoikeuksien tulee tulla ryhmäjäsenyyksien kautta, ei käyttäjänimien!
Jos ESA:ssa on käytössä userLevel-claim eikä ESM käytä ryhmäattribuuttia määrittääkseen, oletko admin / tavallinen käyttäjä / vain luku -käyttäjä, ESM-rooleja ei voi enää määrittää manuaalisesti Person-tietueelle ratkaisussa.
Kaikkia roolisuhteita hallitaan tiukasti käytössä olevan realmin IdP:n tarjoamien ryhmien mukaan.
Kaikki rooli- tai käyttöoikeusmuutokset on tehtävä IdP:ssä, ei ratkaisussa.
Miten ESA määritetään määrittämään ESM-roolit AD:sta
Kirjaudu ESA:n hallintakonsoliin pääkäyttäjätunnuksella (esim. main.admin) osoitteessa https://example.efectecloud.com/auth/admin
- Valitse oikea realm vasemmasta yläkulman pudotusvalikosta
- Avaa
Clients-asetukset vasemmasta sivupaneelista
- Valitse Client-määritys (joka päättyy sanaan shibboleth) https://example.efectecloud.com/shibboleth
- Valitse
Client scopes-välilehti ja valitse shibboleth-linkki
- Valitse
Add mapper-painike ja valitse pudotusvalikostaBy configuration
- Valitse vaihtoehto
SAML Efecte ESM userLevel mapperja lisää nimet sekä SAML Attribute Nameformat alla olevan kuvan mukaisesti (com:efecte:esm:userLevel & Unspecified). Tallenna muutokset.
Huomaa, että jos asiakas ei käytä oletusryhmiä ESMAdmins, ESMUsers, ESMreaders, ryhmien nimet on vaihdettava ESA-hostissa. Ota yhteyttä Matrix42:een määritystä varten.
- Määritä com:efecte:esm:roles-mapperi lisäämällä uusi mapperi By Configuration
- Valitse vaihtoehto SAML Efecte ESM roles mapper [Realm name] ja lisää nimet sekä SAML Attribute Nameformat alla olevan kuvan mukaisesti (com:efecte:esm:roles & Unspecified). Tallenna muutokset.
- Siirry ESM:ään. ESM:n Role Permission -kohdassa jokaisella oikeudella on attribuutti ”External identifier” – sen tulee olla järjestelmän/hakemiston ryhmän nimi.
Ota käyttöön Unmanaged Attributes
Ota käyttöön Unmanaged Attributes -asetus, muuten et näe Attributes-välilehteä Secure Accessin Users-sivulla.
https://docs.efecte.com/faqs/user-details-attributes-tab-is-not-shown-in-esa-admin
Miten ESA määritetään määrittämään ESM-roolit Entra ID:stä (aiemmin Azure AD)
Edellytys: Groups claim on määritetty Entra ID:hen (ryhmät lähetetään Entra ID:stä ESA:lle), sekä SAML että OIDC ovat tuettuja. Ohjeet OIDC:lle: OIDC-asiakasohjeet ja SAML:lle SAML-asiakasohjeet
1. Kirjaudu ESA:n hallintakonsoliin pääkäyttäjätunnuksella (esim. main.admin) osoitteessa https://example.efectecloud.com/auth/admin
2. Valitse oikea realm vasemmasta yläkulman pudotusvalikosta
3. Lisää Groups-mapperi identiteetintarjoajan asetuksiin.
Sinun on lisättävä eri attribuutin nimi käytössä olevan todennustyypin (SAML tai OIDC) mukaan. Siirry identiteetintarjoajaasi ja mappers-välilehdelle. Tämä groups claim (tieto) ei tule oletuksena Entralta, joten tarkista, että asiakas on määrittänyt tämän groups claimin Entraan edellytysohjeiden mukaisesti. OIDC:lle: OIDC-asiakasohjeet ja SAML:lle SAML-asiakasohjeet
3A. Käytä SAML:lle attribuutin nimeä: http://schemas.microsoft.com/ws/2008/06/identity/claims/groups sync mode override: Force, Claim: groups
3B. Käytä OIDC:lle attribuutin nimeä: groups sync mode override: Force, Claim: groups
4. Avaa sen jälkeen Clients-asetukset vasemmasta sivupaneelista
5. Valitse Client-määritys (päättyy sanaan shibboleth) https://example.efectecloud.com/shibboleth
6. Valitse Client scopes -välilehti ja valitse shibboleth-linkki (linkki sisältää sanan shibboleth)
7. Valitse Add mapper -painike ja valitse pudotusvalikosta By configuration
8. Valitse vaihtoehto SAML Efecte ESM userLevel mapper ja lisää nimet sekä SAML Attribute Nameformat alla olevan kuvan mukaisesti (com:efecte:esm:userLevel & Unspecified). Tallenna muutokset.
Huomaa, että jos asiakas ei käytä oletusryhmiä ESMAdmins, ESMUsers, ESMreaders, ryhmien nimet on vaihdettava ESA-hostissa. Ota yhteyttä Matrix42:een määritystä varten.
9. Määritä com:efecte:esm:roles-mapperi lisäämällä uusi mapperi By Configuration valinnalla
10. Valitse vaihtoehto SAML Efecte ESM roles mapper [Realm name] ja lisää nimet sekä SAML Attribute Nameformat alla olevan kuvan mukaisesti (com:efecte:esm:roles & Unspecified). Tallenna muutokset.
11. Yhdistääksesi ESM-roolit Entra ID -ryhmiin – käytä External Identifieria ESM:n roolin määrityssivulla:
Huomio: Tämän tulee olla ryhmän ObjectGUID tai Entra ID -ryhmän nimi – riippuen siitä, miten se on määritetty group claimeja varten.
Ota käyttöön Unmanaged Attributes
Ota käyttöön Unmanaged Attributes -asetus, muuten et näe Attributes-välilehteä Secure Accessin Users-sivulla.
https://docs.efecte.com/faqs/user-details-attributes-tab-is-not-shown-in-esa-admin
Vianmääritys
SAML-selainlaajennus
SAML-selainlaajennus (SAML-dekooderi) on hyödyllinen kirjautumisen vianmäärityksessä.
SAML-dekooderit ovat saatavilla selainlaajennuksina (esim. SAML Tracer Firefoxille, SAML Chrome Panel Google Chromelle). Esimerkiksi: https://addons.mozilla.org/en-US/firefox/addon/saml-message-decoder-extension/ or https://addons.mozilla.org/nl/firefox/addon/saml-tracer/
Lokit
Jos ESA-kirjautuminen toimii mutta ESM-kirjautuminen ei
- Tarkista ESM:n loki nimeltä itsm.log (Efecte ESM→ Maintenance→Logs→Download logs→itsm.log)
Jos ESA-kirjautuminen ei toimi
- Tarkista ESA:n server.log (opt/keycloak/standalone/log/server.log)
- Tarkista ESA:n container-loki /opt/keycloak/logs/keycloak.log
Secure Accessin pääkäyttäjän Users-sivun Attributes-välilehti ei näy
Ota käyttöön Unmanaged Attributes -asetus, muuten et näe Attributes-välilehteä Secure Accessin Users-sivulla.
https://docs.efecte.com/faqs/user-details-attributes-tab-is-not-shown-in-esa-admin
Table of Contents