Okta – Generisches SCIM

Durch Konfigurieren eines generischen Identitätsanbieters (IdP) im Unternehmensverbund-Workflow können Sie Single-Sign-On (SSO) und automatisiertes Benutzermanagement mit Hilfe des SAML-Protokolls und einer generischen SCIM-2.0-kompatiblen Bereitstellung einrichten.

Welche Rolle spielt der Omnissa Identity Service?

Der Unternehmensverbund verwendet den Omnissa Identity Service für die SCIM-basierte Benutzerbereitstellung und -verwaltung. Omnissa Identity Service integriert Omnissa-Produkte und Dienste für die Benutzerbereitstellung und den Identitätsverbund in cloudbasierte Identitätsdrittanbieter. Der Omnissa Identity Service ermöglicht ein zentrales Benutzermanagement auf der gesamten Omnissa Plattform.

Wichtig: Konfigurieren Sie eine separate Instanz der Omnissa Identity Service-App für Unternehmensverbund, indem Sie den generischen SCIM-2.0-Identitätsanbieterprozess verwenden. Eine zuvor konfigurierte Omnissa Identity Service App können Sie nicht verwenden.

Anforderungen

• Sie müssen den Schritt Domänen überprüfen abschließen, bevor Sie in Omnissa Connect auf den Bereich Identitätsanbieter konfigurieren des Widgets Unternehmensverbund einrichten zugreifen können.
• Um Apps in den IdP zu integrieren, müssen Sie über Administratorberechtigungen verfügen.
• Ihr IdP muss für die Authentifizierung SAML 2.0 und für die Bereitstellung SCIM 2.0 unterstützen.

Verfahren

Um Okta im SAML-Protokoll für die generische SCIM-Bereitstellung zu konfigurieren, benötigen Sie sowohl die Omnissa Connect Console als auch die Okta Admin Console. Es ist am besten, zwei Browserinstanzen zu verwenden, um das Kopieren und Einfügen von Werten zwischen den Konsolen zu vereinfachen.

1. Initiieren Sie die Konfiguration in Omnissa Connect.
   1. Öffnen Sie eine Browserinstanz und gehen Sie zu Ihrer Omnissa Connect Console.
   2. Navigieren Sie zu Unternehmensverbund einrichten > Identitätsanbieter konfigurieren und wählen Sie Starten aus.
   3. Wählen Sie auf der Registerkarte Wahl Ihres Identitätsanbieters diese Einstellungen aus und klicken Sie dann auf Weiter.
      • Identitätsanbieter: Sonstiger
      • Bereitstellungstyp: SCIM-basierend
      • Authentifizierungsprotokolltyp: SAML
        
2. Konfigurieren Sie die Bereitstellung im IdP.
   • Da Token ablaufen und manuell aktualisiert werden müssen, sind Client-ID und geheimer Schlüssel vorzuziehen.
   • Als Best Practice für die Sicherheit sollten Sie die Client-ID und den geheimen Client-Schlüssel alle sechs Monate erneuern.
     1. Wechseln Sie in Omnissa Connect zur Registerkarte Identitätsanbieter für SCIM-Bereitstellung einrichten.
     2. Wählen Sie den Anmeldedatentyp aus, klicken Sie auf Generieren und kopieren Sie je nach Anmeldedaten die generierten URLs und geheimen Schlüssel.
        • Mandanten-URL und Token
          
          • Überprüfen und kopieren Sie die generierten Werte.
          • Mandanten-URL: Der SCIM-2.0-Endpoint Ihres Omnissa Connect-Mandanten. Kopieren Sie den Wert.
          • Token-Lebensdauer: Der Zeitraum, für den das geheime Token gültig ist. Standardmäßig generiert Omnissa Connect das Token mit einer Standardlebensdauer von 6 Monaten. Um die Lebensdauer des Tokens zu ändern, wählen Sie die Drop-Down-Liste und eine andere Option. Wählen Sie dann Neu generieren, um das Token mit dem neuen Wert neu zu generieren.
          • Es muss ein neues Token generiert werden: Wenn Sie die Token-Lebensdauer aktualisieren, wird das vorherige Token ungültig und die Bereitstellung von Benutzern und Gruppen vom IdP aus schlägt fehl. Sie müssen ein neues Token neu generieren, kopieren und in den IdP einfügen.
          • Geheimes Token: Das Token, das vom IdP für die Bereitstellung von Benutzern für Omnissa Connect benötigt wird. Kopieren Sie den Wert.
          • Token nicht mehr sichtbar: Stellen Sie sicher, dass Sie das Token kopieren, bevor Sie auf Weiter klicken. Nachdem Sie auf Weiter geklickt haben, wird das Token nicht mehr angezeigt und Sie müssen ein neues Token generieren.
          • Beachten Sie, dass jedes Mal, wenn Sie das Token neu generieren, das vorherige Token ungültig wird und die Bereitstellung fehlschlägt.
          • Stellen Sie sicher, dass Sie das neue Token kopieren und in den Identitätsanbieter einfügen.
        • Client-ID und geheimer Schlüssel
          
          • Kopieren Sie die Werte für Client-ID und geheimen Client-Schlüssel.
          • Geheimer Schlüssel nicht mehr sichtbar: Stellen Sie sicher, dass Sie den geheimen Schlüssel kopieren, bevor Sie auf Weiter klicken. Nachdem Sie auf Weiter geklickt haben, wird der geheime Schlüssel nicht mehr angezeigt und Sie müssen einen neuen generieren.
          • Immer dann, wenn Sie den geheimen Schlüssel neu generieren, wird der vorherige geheime Schlüssel ungültig und die Bereitstellung schlägt fehl.
          • Stellen Sie sicher, dass Sie den neuen geheimen Schlüssel kopieren und in den IdP einfügen.
     3. Erstellen Sie in Ihrer IdP-Konsole eine neue generische SCIM-2.0-Anwendung (manchmal auch als „benutzerdefinierte SCIM-“ oder „Nicht-Gallery“-Anwendung bezeichnet).
     4. Geben Sie in den API-Integrationseinstellungen des IdP den Mandanten-URL und das geheime Token oder den Token-URL und den geheimen Clientschlüssel an.
     5. Aktivieren Sie die folgenden Bereitstellungsaktionen innerhalb des IdP.
        • Benutzer erstellen
        • Benutzerattribute aktualisieren
        • Benutzer deaktivieren
     6. Führen Sie einen Verbindungstest durch, um sicherzustellen, dass der IdP den Omnissa SCIM-Endpoint erreichen kann.
3. Starten Sie den Austausch des Metadaten-URL.
   1. Kopieren Sie in Omnissa Connect auf der Registerkarte SAML innerhalb Ihres Identitätsanbieters einrichten den Metadaten-URL.
      
   2. Fügen Sie ihn in Ihren IdP ein.
4. Richten Sie Benutzerattribute ein.
   1. Überprüfen Sie in Omnissa Connect auf der Registerkarte Benutzerattribute die erforderlichen Zuordnungen.
      • Wenn Sie in Ihrem IdP die Omnissa Identity Service-Anwendungsvorlage verwenden, sind diese Attribute in der Regel vorkonfiguriert.
      • Wählen Sie Weiter.
        
5. Schließen Sie die SAML-Einrichtung ab.
   1. Suchen Sie in den Anwendungseinstellungen Ihres IdP den Metadaten-URL und kopieren Sie diesen.
   2. Wechseln Sie in Omnissa Connect zur Registerkarte Konfigurieren Ihres Identitätsanbieters.
   3. Geben Sie einen IdP-Anzeigenamen ein (z.B. Unternehmens-IdP).
   4. Aktivieren Sie das Optionsfeld URL für die Option Metadaten und fügen Sie den URL aus Ihrem IdP ein.
      
6. Legen Sie die Benutzeridentifikationseinstellung fest.
   1. Wählen Sie in Omnissa Connect auf der Registerkarte Benutzeridentifikationseinstellung festlegen das Attribut aus, mit dem Benutzer sich identifizieren können.
      
      • Stellen Sie sicher, dass der ausgewählte Wert dem Format Ihrer verifizierten Domäne entspricht (z.B. user@example.com).
   2. Wählen Sie Konfigurieren, um den Vorgang abzuschließen.

Nächste Schritte

Verwenden Sie nach Abschluss der technischen Konfiguration den Workflow Validieren und aktivieren in Omnissa Connect, um die Authentifizierungsschleife zu testen. Weisen Sie nach erfolgreicher Validierung Benutzer oder Gruppen der Omnissa Identity Service-Anwendung in Ihrem IdP zu, um die anfängliche Synchronisierung auszulösen.