Integrieren von Omnissa Identity Service in einen generischen Identitätsanbieter

Nachdem Sie Omnissa Identity Service in Omnissa Connect aktiviert haben, richten Sie die Integration mit Ihrem SCIM 2.0-basierten Identitätsanbieter ein.

1. Klicken Sie im Omnissa Identity Service-Assistenten „Erste Schritte“ in Schritt 2 Einen SCIM 2.0-basierten Identitätsanbieter integrieren auf Start.

2. Klicken Sie auf der Karte SCIM 2.0-Identitätsanbieter auf Einrichten.

   

3. Folgen Sie den Anweisungen des Assistenten, um die Integration in Ihren Identitätsanbieter einzurichten.

Schritt 1: Ein Verzeichnis erstellen

Als ersten Schritt beim Einrichten der Benutzerbereitstellung und des Identitätsverbunds mit Omnissa Identity Service erstellen Sie in der Omnissa Connect-Konsole ein Verzeichnis für Benutzer und Gruppen, die von Ihrem Identitätsanbieter bereitgestellt wurden.

Achtung: Nachdem Sie ein Verzeichnis erstellt haben, können Sie die Auswahl Ihres Identitätsanbieters nicht mehr ändern. Stellen Sie sicher, dass Sie den richtigen Identitätsanbieter ausgewählt haben, bevor Sie fortfahren.

Vorgehensweise

1. Geben Sie in Schritt 1 Allgemeine Informationen des Assistenten den Namen ein, den Sie für das bereitgestellte Verzeichnis in Omnissa Identity Service verwenden möchten.

   Der Name darf maximal 128 Zeichen lang sein. Es sind nur die folgenden Zeichen zulässig: Buchstaben (a–z oder entsprechende Zeichen in anderen Sprachen), Ziffern (0–9), Leerzeichen, Bindestrich (-) und Unterstrich (_).

   Wichtig: Sie können den Namen des Verzeichnisses nach dem Erstellen nicht mehr ändern.

2. Geben Sie für Domänenname den primären Domänennamen Ihres Quellverzeichnisses ein, einschließlich der Erweiterung wie .com oder .net.

   Omnissa Identity Service unterstützt derzeit nur eine Domäne. Bereitgestellte Benutzer und Gruppen werden in den Omnissa-Diensten mit dieser Domäne verknüpft.

   Der Domänenname darf maximal 100 Zeichen lang sein. Es sind nur die folgenden Zeichen zulässig: Buchstaben (a–z oder entsprechende Zeichen in anderen Sprachen), Ziffern (0–9), Leerzeichen, Bindestrich (-), Unterstrich (_) und Punkt (.).

   Beispiel:

   

3. Klicken Sie auf Speichern und bestätigen Sie Ihre Auswahl.

Nächste Schritte

Richten Sie die Bereitstellung von Benutzern und Gruppen ein.

Schritt 2: Benutzer- und Gruppenbereitstellung einrichten

Nachdem Sie ein Verzeichnis in Omnissa Identity Service erstellt haben, richten Sie die Benutzer- und Gruppenbereitstellung ein. Sie starten den Vorgang in Omnissa Identity Service, indem Sie die für die Bereitstellung erforderlichen Admin-Anmeldedaten generieren und dann die Bereitstellung im Identitätsanbieter mit diesen Anmeldedaten konfigurieren.

Hinweis: Diese Informationen gelten für alle SCIM 2.0-basierten Identitätsanbieter mit Ausnahme von Microsoft Entra ID und Okta. Informationen zum Integrieren von Omnissa Identity Service in Microsoft Entra ID finden Sie unter Integrieren von Omnissa Identity Service in Microsoft Entra ID. Informationen zur Integration von Omnissa Identity Service in Okta finden Sie unter Integrieren von Omnissa Identity Service in Okta.

Hinweis: Dieses Thema enthält allgemeine Informationen zum Konfigurieren eines externen Identitätsanbieters. Die genauen Schritte und Speicherorte für die Aufgaben variieren je nach Identitätsanbieter. Spezifische Informationen finden Sie in der Dokumentation Ihres Identitätsanbieters.

Voraussetzungen

Sie verfügen über ein Administratorkonto im Identitätsanbieter mit den erforderlichen Berechtigungen, um die Benutzerbereitstellung einzurichten.

Vorgehensweise

1. Wählen Sie in der Omnissa Connect-Konsole in Schritt 2 Identitätsanbieter konfigurieren des Omnissa Identity Service-Assistenten den Typ der Anmeldedaten aus, die zum Einrichten der Benutzerbereitstellung in Ihrem Identitätsanbieter erforderlich sind.

   Wählen Sie zwischen:

   • Client-ID und geheimer Schlüssel
   • Mandanten-URL und Token Da Token ablaufen und manuell aktualisiert werden müssen, sind Client-ID und geheimer Schlüssel vorzuziehen. Als Best Practice für die Sicherheit sollten Sie die Client-ID und den geheimen Client-Schlüssel alle sechs Monate erneuern.

   Wenn Sie auf Weiter klicken, generiert Omnissa Identity Service die Anmeldedaten.

2. Wenn Sie Client-ID und geheimer Schlüssel ausgewählt haben, kopieren Sie die Werte für die Client-ID und den geheimen Client-Schlüssel.

   Wichtig: Stellen Sie sicher, dass Sie den geheimen Schlüssel kopieren, bevor Sie auf Weiter klicken. Nachdem Sie auf Weiter geklickt haben, wird der geheime Schlüssel nicht mehr angezeigt und Sie müssen einen neuen geheimen Schlüssel generieren. Immer dann, wenn Sie den geheimen Schlüssel neu generieren, wird der vorherige geheime Schlüssel ungültig und die Bereitstellung schlägt fehl. Stellen Sie sicher, dass Sie den neuen geheimen Schlüssel kopieren und in die Identitätsanbieter-App einfügen.

   Beispiel:

   

3. Wenn Sie Mandanten-URL und Token ausgewählt haben, überprüfen und kopieren Sie die generierten Werte.

   • Mandanten-URL: Der SCIM 2.0 Endpoint Ihres Omnissa Identity Service-Mandanten. Kopieren Sie den Wert.

   • Token-Lebensdauer: Der Zeitraum, für den das geheime Token gültig ist.

     Standardmäßig generiert Omnissa Identity Service das Token mit einer Standardlebensdauer von 6 Monaten. Um die Lebensdauer des Tokens zu ändern, klicken Sie auf den Pfeil nach unten, wählen Sie eine andere Option aus und klicken Sie auf Neu generieren, um das Token mit dem neuen Wert neu zu generieren.

     Wichtig: Wenn Sie die Token-Lebensdauer aktualisieren, wird das vorherige Token ungültig und die Bereitstellung von Benutzern und Gruppen über den Identitätsanbieter schlägt fehl. Sie müssen ein neues Token neu generieren und das neue Token kopieren und in den Identitätsanbieter einfügen.

   • Geheimes Token: Das Token, das vom Identitätsanbieter für die Bereitstellung von Benutzern für Omnissa Identity Service benötigt wird. Kopieren Sie den Wert.

     Wichtig: Stellen Sie sicher, dass Sie das Token kopieren, bevor Sie auf Weiter klicken. Nachdem Sie auf Weiter geklickt haben, wird das Token nicht mehr angezeigt und Sie müssen ein neues Token generieren. Beachten Sie, dass jedes Mal, wenn Sie das Token neu generieren, das vorherige Token ungültig wird und die Bereitstellung fehlschlägt. Stellen Sie sicher, dass Sie das neue Token kopieren und in den Identitätsanbieter einfügen.

   Beispiel:

   

   Wenn das Token in Kürze abläuft, wird eine Bannerbenachrichtigung in Omnissa Identity Service angezeigt. Wenn Sie auch E-Mail-Benachrichtigungen erhalten möchten, stellen Sie sicher, dass Sie sich für den Erhalt von E-Mails angemeldet haben. Weitere Informationen finden Sie unter Anleitung zur Aktivierung von E-Mail-Benachrichtigung.

4. Richten Sie in Ihrem Identitätsanbieter die Benutzer- und Gruppenbereitstellung für Omnissa Identity Service.

   1. Melden Sie sich bei der Identitätsanbieter-Konsole als Administrator an.

   2. Richten Sie die SCIM 2.0-Bereitstellung ein.

      Wenn Sie dazu aufgefordert werden, geben Sie die Anmeldedaten ein, die Sie in der Omnissa Connect-Konsole generiert haben.

   3. Aktivieren Sie die Bereitstellung.

Nächste Schritte

Kehren Sie zur Omnissa Connect-Konsole zurück, um mit dem Omnissa Identity Service-Assistenten fortzufahren.

Schritt 3: SCIM-Benutzerattribute zuordnen

Ordnen Sie die Benutzerattribute zu, die von Ihrem Identitätsanbieter mit Omnissa-Diensten synchronisiert werden sollen. Fügen Sie in Ihrer Identitätsanbieterkonsole die erforderlichen SCIM-Benutzerattribute hinzu und ordnen Sie sie Ihren Identitätsanbieterattributen zu. Synchronisieren Sie mindestens die Attribute, die für den Omnissa Identity Service und die damit integrierten Omnissa-Diensten erforderlich sind.

Omnissa Identity Service und Omnissa-Dienste benötigen die folgenden SCIM-Benutzerattribute:

• userName
• emails[type eq "work"].value
• name.givenName
• name.familyName
• externalId
• active

Weitere Informationen zu diesen Attributen und deren Zuordnung zu Omnissa-Attributen finden Sie unter Benutzerattributzuordnung für Omnissa Identity Service.

Zusätzlich zu den erforderlichen Attributen können Sie optionale Attribute und benutzerdefinierte Attribute synchronisieren. Eine Liste der unterstützten optionalen und benutzerdefinierten Attribute finden Sie unter Benutzerattributzuordnung für Omnissa Identity Service.

Vorgehensweise

1. Überprüfen Sie in der Omnissa Connect-Konsole in Schritt 3 SCIM-Benutzerattribute zuordnen des Omnissa Identity Service-Assistenten die Liste der Attribute, die vom Omnissa Identity Service unterstützt werden.

2. Navigieren Sie in der Verwaltungskonsole Ihres Identitätsanbieters zur Bereitstellungskonfiguration für Omnissa Identity Service.

3. Navigieren Sie zur Seite für die Attributzuordnung.

4. Ordnen Sie die erforderlichen SCIM-Benutzerattribute den Attributen Ihres Identitätsanbieters zu.

5. Fügen Sie nach Bedarf optionale und benutzerdefinierte SCIM-Benutzerattribute hinzu und ordnen Sie sie zu.

Nächste Schritte

Kehren Sie zur Omnissa Connect-Konsole zurück, um mit dem Omnissa Identity Service-Assistenten fortzufahren.

Schritt 4: Authentifizierungsprotokoll auswählen

Wählen Sie das Protokoll aus, das für die Verbundauthentifizierung verwendet werden soll. Omnissa Identity Service unterstützt die OpenID Connect- und SAML-Protokolle.

Achtung: Treffen Sie Ihre Auswahl sorgfältig. Nachdem Sie das Protokoll ausgewählt und die Authentifizierung konfiguriert haben, können Sie den Protokolltyp nicht ändern, ohne das Verzeichnis zu löschen.

Anforderungen für bestimmte auf Benutzernamen und Kennwort basierende Flows in Workspace ONE UEM (Flows zur Kennwortgewährung)

Wenn Sie auf Benutzernamen und Kennwort basierende Workspace ONE UEM-Flows verwenden möchten, die sich auf das Kennwortgewährungsprotokoll stützen, müssen Sie „OpenID Connect“ als Authentifizierungsprotokoll in Omnissa Identity Service auswählen.

Sie müssen außerdem die Einstellung Kennwortgewährung auf der Seite „Workspace ONE UEM-Verzeichnisdienste“ aktivieren, um die Berechtigung zur Verwendung des älteren Kennwortgewährungsprotokolls zu erteilen. Siehe Konfigurieren von Workspace ONE UEM-Einstellungen für Omnissa Identity Service.

Eine Liste der Flows, für die diese Anforderungen gelten, finden Sie unter Unterstützung für bestimmte auf Benutzernamen und Kennwort basierende Workspace ONE UEM-Flows.

Vorgehensweise

1. Wählen Sie in Schritt 4 Authentifizierungsprotokoll auswählen des Assistenten OpenID Connect oder SAML aus.

2. Wenn Sie Standardbenutzer in Workspace ONE UEM erstellen möchten, erweitern Sie UEM-Standardbenutzerauthentifizierung einrichten und aktivieren Sie die Option Standardbenutzerauthentifizierung für UEM.

   Weitere Informationen finden Sie unter Konfigurieren der Workspace ONE UEM-Standardbenutzerauthentifizierung.

3. Klicken Sie auf Weiter.

   Der nächste Schritt des Assistenten wird mit den Werten angezeigt, die für die Konfiguration des ausgewählten Protokolls erforderlich sind.

Nächste Schritte

Konfigurieren Sie Omnissa Identity Service und den Identitätsanbieter für die Verbundauthentifizierung.

Schritt 5: Authentifizierung konfigurieren (generischer SCIM-Identitätsanbieter)

Um die Verbundauthentifizierung mit Ihrem Identitätsanbieter zu konfigurieren, richten Sie eine OpenID Connect- oder SAML-App im Identitätsanbieter ein, indem Sie die Dienstanbietermetadaten aus Omnissa Identity Service verwenden, und konfigurieren Omnissa Identity Service mit den Werten aus der App.

Hinweis: Dieses Thema enthält allgemeine Informationen zum Konfigurieren eines externen Identitätsanbieters. Die genauen Schritte für die Aufgaben variieren je nach Identitätsanbieter. Spezifische Informationen finden Sie in der Dokumentation Ihres Identitätsanbieters.

OpenID Connect

Wenn Sie OpenID Connect als Authentifizierungsprotokoll ausgewählt haben, führen Sie die folgenden Schritte aus.

1. Kopieren Sie in Schritt 5 OpenID Connect konfigurieren des Omnissa Identity Service-Assistenten den Wert Umleitungs-URI.

   Sie benötigen diesen Wert für den nächsten Schritt, wenn Sie eine OpenID Connect-App in Ihrem Identitätsanbieter erstellen.

   

2. Erstellen Sie in der Verwaltungskonsole des Identitätsanbieters eine OpenID Connect-App.

3. Suchen Sie den Abschnitt „Umleitungs-URI“ in der App, kopieren Sie den Wert für den Umleitungs-URI, den Sie aus dem Omnissa Identity Service-Assistenten kopiert haben, und fügen Sie ihn ein.

4. Erstellen Sie einen geheimen Client-Schlüssel für die App und kopieren Sie ihn.

   Den geheimen Schlüssel geben Sie im nächsten Schritt in den Omnissa Identity Service-Assistenten ein.

5. Kehren Sie zum Omnissa Identity Service-Assistenten in der Omnissa Connect-Konsole zurück und schließen Sie die Konfiguration im Abschnitt OpenID Connect konfigurieren ab.

   Client-ID	Kopieren Sie den Wert der Client-ID aus der Identitätsanbieter-App und fügen Sie ihn ein.
   Geheimer Client-Schlüssel	Kopieren Sie den geheimen Client-Schlüssel aus der Identitätsanbieter-App und fügen Sie ihn ein.
   Konfigurations-URL	Kopieren Sie die bekannte OpenID Connect-Konfigurations-URL der Identitätsanbieter-App und fügen Sie sie ein. Beispiel: https://example.com/.well-known/openid-configuration
   Attribut für OIDC-Benutzer-ID	Geben Sie das OpenID Connect-Attribut an, das dem Workspace ONE-Attribut für die Benutzersuche zugeordnet werden soll.
   Attribut für Workspace ONE-Benutzer-ID	Geben Sie das Workspace ONE-Attribut an, das dem OpenID Connect-Attribut für die Benutzersuche zugeordnet werden soll.

6. Klicken Sie im Omnissa Identity Service-Assistenten auf Fertigstellen, um die Integration zwischen Omnissa Identity Service und Ihrem Identitätsanbieter einzurichten.

SAML

Wenn Sie SAML als Authentifizierungsprotokoll ausgewählt haben, führen Sie die folgenden Schritte aus.

1. Rufen Sie die Metadaten des Dienstanbieters von der Omnissa Connect-Konsole ab.

   Kopieren Sie ab Schritt 5 SAML-Single Sign-On konfigurieren des Omnissa Identity Service-Assistenten die Metadaten des SAML-Dienstanbieters oder laden Sie sie herunter.

   

2. Navigieren Sie in der Verwaltungskonsole des Identitätsanbieters zur Single Sign-On-Konfigurationsseite.

3. Konfigurieren Sie Single Sign-On mithilfe von Werten aus dem Omnissa Identity Service-Assistenten.

   Typische Konfigurationsschritte umfassen einen der folgenden Schritte, je nachdem, was der Identitätsanbieter unterstützt:

   • Suchen Sie die Option Metadaten des Dienstanbieters und laden Sie die Metadaten des SAML-Dienstanbieters aus dem Omnissa Identity Service-Assistenten hoch oder kopieren Sie sie und fügen Sie sie ein.

   • Wenn der Identitätsanbieter über keine Option zum Hochladen der Metadatendatei verfügt oder wenn Sie es vorziehen, die Einstellungen individuell zu konfigurieren, kopieren Sie die folgenden Werte aus Schritt 5 des Omnissa Identity Service-Assistenten und fügen Sie sie in die entsprechenden Felder in der Konsole des Identitätsanbieters ein:

     Entitäts-ID-Wert: Zum Beispiel https://yourIdentityServiceFQDN/SAAS/API/1.0/GET/metadata/sp.xml.

     Single Sign-On-URL-Wert: Zum Beispiel https://yourIdentityServiceFQDN/SAAS/auth/saml/response.

     Signierungszertifikat

     Verschlüsselungszertifikat (unter Erweiterte Optionen): Erforderlich, wenn Sie die SAML-Verschlüsselung im Identitätsanbieter aktivieren möchten.

4. Suchen und kopieren Sie die SAML-Metadaten des Identitätsanbieters aus der Identitätsanbieterkonsole.

5. Fügen Sie in der Omnissa Connect-Konsole in Schritt 5 SAML-Single Sign-On konfigurieren des Omnissa Identity Service-Assistenten die Identitätsanbieter-Metadaten in das Textfeld Identitätsanbieter-Metadaten ein.

   

6. Konfigurieren Sie bei Bedarf die restlichen Optionen im Abschnitt SAML-Single Sign-On konfigurieren.

   • Bindungsprotokoll: Wählen Sie das SAML-Bindungsprotokoll HTTP POST oder HTTP-Umleitung aus.

   • Namens-ID-Format: Verwenden Sie die Einstellungen Namens-ID-Format und Namens-ID-Wert, um Benutzer zwischen Ihrem Identitätsanbieter und Omnissa Identity Service zuzuordnen. Geben Sie für das Namens-ID-Format das Namens-ID-Format an, das in der SAML-Antwort verwendet wird.

   • Namens-ID-Wert: Wählen Sie das Omnissa Identity Service-Benutzerattribut aus, dem der in der SAML-Antwort empfangene Wert der Namens-ID zugeordnet werden soll.

   • SAML-Kontext: Wählen Sie den SAML-Authentifizierungskontext aus. Sie können einen der im Dropdown-Menü angezeigten Werte auswählen oder einen benutzerdefinierten Wert eingeben. Der Standardwert lautet urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified.

     Mit dem Authentifizierungskontext wird angegeben, wie sich ein Benutzer bei einem Identitätsanbieter authentifiziert. Der Identitätsanbieter schließt den Authentifizierungskontext auf Anforderung eines Dienstanbieters oder basierend auf der Konfiguration beim Identitätsanbieter in einer Assertion ein.

   • Betreff in SAML-Anforderung senden (wenn verfügbar): Wählen Sie diese Option aus, wenn Sie den Betreff als Anmeldehinweis an den Identitätsanbieter senden möchten, um die Benutzeranmeldung zu verbessern, sofern verfügbar.

   • Einmalige SAML-Abmeldung verwenden: Wählen Sie diese Option aus, wenn Sie Benutzer aus ihrer Identitätsanbieter-Sitzung abmelden möchten, nachdem sie sich von Omnissa-Diensten abgemeldet haben.

   • URL für die einmalige Abmeldung beim Identitätsanbieter: Wenn Ihr Identitätsanbieter keine einmalige SAML-Abmeldung unterstützt, können Sie mit dieser Option die URL angeben, an die Benutzer nach der Abmeldung von den Omnissa-Diensten weitergeleitet werden sollen. Wenn Sie diese Option verwenden, aktivieren Sie auch das Kontrollkästchen Einmalige SAML-Abmeldung verwenden.

     Wenn Sie diese Option leer lassen, werden Benutzer mithilfe der einmaligen SAML-Abmeldung zum Identitätsanbieter umgeleitet.

7. Klicken Sie im Assistenten auf Fertig stellen, um die Einrichtung der Integration zwischen Omnissa Identity Service und Ihrem Identitätsanbieter abzuschließen.

Ergebnisse

Die Integration zwischen Omnissa Identity Service und Ihrem Identitätsanbieter ist abgeschlossen.

Das Verzeichnis wird in Omnissa Identity Service erstellt und mit Daten gefüllt, wenn Sie Benutzer und Gruppen über die Bereitstellungs-App im Identitätsanbieter weitergeben. Bereitgestellte Benutzer und Gruppen werden automatisch in den Omnissa-Diensten angezeigt, die Sie für die Integration mit dem Identitätsanbieter ausgewählt haben, z. B. Omnissa Access und Workspace ONE UEM.

Sie können das Verzeichnis in den Konsolen Omnissa Access, Workspace ONE UEM oder Horizon Cloud nicht bearbeiten. Die Seiten für Verzeichnis, Benutzer, Benutzergruppen, Benutzerattribute und Identitätsanbieter sind schreibgeschützt.

Nächste Schritte

Wählen Sie anschließend die Omnissa-Dienste aus, für die Sie Benutzer und Gruppen bereitstellen möchten.

Wenn Workspace ONE UEM einer der von Ihnen ausgewählten Dienste ist, konfigurieren Sie zusätzliche Einstellungen in der Workspace ONE UEM Console.

Übertragen Sie dann Benutzer und Gruppen von Ihrem Identitätsanbieter. Siehe Bereitstellen von Benutzern für Workspace ONE.