Damit sich eine einzelne Anwendung bei den Omnissa Access-Diensten registrieren kann und so dem Benutzer Zugriff auf die Anwendung ermöglicht, erstellen Sie einen Benutzerzugriffstoken-Client.
Omnissa Access verwendet OAuth 2.0, damit sich Anwendungen bei Omnissa Access registrieren und sicheren delegierten Zugriff auf Anwendungen erstellen können, die im Hub-Katalog aktiviert sind. Der OAuth-Client ist über ein Zugriffstoken autorisiert.
Sie können zwei Typen von OAuth 2-Clients erstellen und aktualisieren: Öffentlicher Client und Vertrauenswürdiger Client.
Öffentliche Clients wie systemeigene Anwendungen oder Apps mit nur einer Seite werden in Umgebungen ausgeführt, die die Vertraulichkeit eines geheimen Clientschlüssels nicht aufrechterhalten können. Wenn „Öffentlich“ als Clienttyp verwendet wird, können Sie als Gewährungstyp entweder „Kennwort“ oder „Autorisierungscode“ auswählen.
Wenn Sie „Autorisierungscode“ für den Clienttyp „Öffentlich“ auswählen, wird PKCE-Unterstützung (Proof Key of Code Exchange) erzwungen und kann nicht entfernt werden. Das PKCE-Erweiterungsprotokoll hilft dabei, Angriffe durch das Abfangen von Autorisierungscodes zu verhindern. Die Geltungsbereichsoptionen für öffentliche Clients sind ausschließlich auf benutzerbasierte Geltungsbereiche beschränkt. Geltungsbereichsoptionen für öffentliche Clients können nicht mit privilegierten Geltungsbereichen wie Admin konfiguriert werden.
Bei vertraulichen Clients handelt es sich um Apps, die sicher beim Autorisierungsserver authentifiziert werden können. Ihre Client-ID und ihr geheimer Schlüssel sind sicher. Wenn der Gewährungstyp „Autorisierungscode“ für den Clienttyp „Vertraulich“ ausgewählt wird, ist die PKCE-Option standardmäßig aktiviert. Sie können die PKCE-Option für vertrauliche Clients entfernen.
Für OAuth 2.0-Clients, die den Gewährungstyp Kennwortgewährung verwenden, können Sie Kennwörter für einen externen OpenID Connect-Identitätsanbieter validieren, indem Sie die mit dem Identitätsanbieter verknüpfte Authentifizierungsmethode auf der Registerkarte OAuth 2.0-Verwaltung > Kennwortvalidierung auswählen. Weitere Informationen finden Sie unter Aktivieren der Kennwortvalidierung mit einem externen Identitätsanbieter für OAuth 2.0-Clients, die den Ablauf für die Kennworterteilung verwenden.
Vorgehensweise
-
Klicken Sie in der Omnissa Access-Konsole auf der Seite Einstellungen > OAuth 2.0-Verwaltungauf CLIENT HINZUFÜGEN.
-
Nehmen Sie auf der Seite Client hinzufügen die folgenden Einstellungen vor.
Bezeichnung Beschreibung Zugriffstyp Sie können entweder ein Benutzerzugriffstoken oder ein Service-Client-Token erstellen. Wählen Sie Benutzerzugriffstoken aus. Clienttyp Öffentlich oder Vertraulich
Wählen Sie Öffentlich aus, wenn Anwendungen in Umgebungen ausgeführt werden, die die Vertraulichkeit eines geheimen Clientschlüssels nicht aufrechterhalten können.
Wählen Sie Vertraulich aus, wenn Apps sicher beim Autorisierungsserver authentifiziert werden können. Bei Auswahl des Clienttyps „Vertraulich“ wird die Clientseite aktualisiert, und die Client-ID und der verborgene gemeinsame geheime Schlüssel werden angezeigt.Client-ID Geben Sie bei Auswahl von Vertraulich einen eindeutigen Clientbezeichner für die Anwendung ein. Die Client-ID wird zur Authentifizierung bei Omnissa Access verwendet. Die Client-ID darf nicht mit einer anderen Client-ID in Ihrem Mandanten übereinstimmen. Die folgenden Zeichen können verwendet werden: alphanumerische Zeichen (A–Z, a–z, 0–9) Punkt (.), Unterstrich (_), Bindestrich (-) und at-Zeichen (@). Der Clientbezeichner darf maximal 256 Zeichen umfassen. Gewährungstyp Wählen Sie einen oder mehrere der folgenden Gewährungstypen aus. - Gewährung von Clientanmeldedaten wird angezeigt, wenn „Vertraulich“ als Clienttyp festgelegt wurde.
- Kennworterteilung. Sie können „Kennworterteilung“ für den Clienttyp „Öffentlich“ oder „Vertraulich“ auswählen.
- Erteilung des Autorisierungscodes. Sie können „Erteilung des Autorisierungscodes“ für den Clienttyp „Öffentlich“ oder „Vertraulich“ auswählen. Wenn Sie „Erteilung des Autorisierungscodes“ auswählen, wird die Einstellung „Umleitungs-URI“ unter „Gewährungstyp“ angezeigt. Bei Auswahl von „Autorisierungscode“ ist die Einstellung PKCE-Unterstützung standardmäßig aktiviert.
- Gewährung von Tokenaktualisierung ist standardmäßig aktiviert, wenn die Einstellung Aktualisierungstoken ausstellen aktiviert ist.
Umleitungs-URI Geben Sie den registrierten Umleitungs-URI für „Erteilung des Autorisierungscodes“ ein. Geben Sie diese in folgender Form ein: https://redirecturi.com.
Sie können eine durch Kommas getrennte Liste verwenden, um mehrere Umleitungs-URLs hinzuzufügen.Benutzergewährung Aktivieren Sie Benutzer zur Annahme des Geltungsbereichs auffordern. Geltungsbereich Der Geltungsbereich definiert, auf welchen Teil des Benutzerkontos das Token zugreifen kann. Zu den zur Auswahl stehenden Geltungsbereichen gehören: E-Mail, Profil, Benutzer, NAPPS, OpenID, Gruppe und Administrator. Wählen Sie einen oder mehrere Identitätsbereiche aus, die Sie als Teil der OAuth 2.0-Autorisierungsanforderung verwenden möchten.
Bei Auswahl von Admin wird die Einstellung „Admin-Rollen“ angezeigt.PKCE-Unterstützung Wenn der Gewährungstyp Erteilung des Autorisierungscodes lautet, ist das Kontrollkästchen „PKCE-Unterstützung“ aktiviert. Wenn der Clienttyp auf „Öffentlich“ lautet, können Sie die PKCE-Unterstützung nicht deaktivieren. Wenn der Clienttyp auf „Vertraulich“ lautet, können Sie die PKCE-Unterstützung nicht deaktivieren. Administratorrollen Für den Clienttyp „Vertraulich“ können Sie unter „Geltungsbereich“ die Einstellung Admin und im Dropdown-Menü die Admin-Rollen auswählen, die dem Admin gewährt werden. Aktualisierungstoken ausgeben Um die Rückgabe eines Aktualisierungstokens zu ermöglichen, lassen Sie diese Option aktiviert. TTL des Aktualisierungstokens Legen Sie den Time-to-Live-Wert für das Aktualisierungstoken fest. Neue Zugriffstoken können so lange angefordert werden, bis das Aktualisierungstoken abläuft. Weitere Informationen finden Sie unter Verwalten von OAuth 2.0-Clients in Omnissa Access. TTL des Zugriffstokens Das Zugriffstoken läuft nach der in TTL des Zugriffstokens festgelegten Anzahl von Sekunden ab. Wenn die Option „Aktualisierungstoken ausgeben“ aktiviert ist, verwendet die Anwendung bei Ablauf des Zugriffstokens das Aktualisierungstoken zum Anfordern eines neuen Zugriffstokens. TTL des Tokens im Leerlauf Konfigurieren Sie, wie lange ein Aktualisierungstoken im Leerlauf sein kann, bevor es nicht mehr verwendet werden kann. Tokentyp Für Omnissa Access lautet der Tokentyp auf Bearer. Benutzergewährung Benutzer zur Annahme des Geltungsbereichs auffordern ist aktiviert. Den Benutzern wird eine Meldung angezeigt, in der die gesendeten Geltungsbereiche aufgeführt sind. -
Klicken Sie auf SPEICHERN.
Bei Auswahl des Clienttyps „Vertraulich“ wird die Clientseite aktualisiert, und die Client-ID und der verborgene gemeinsame geheime Schlüssel werden angezeigt.
-
Kopieren und speichern Sie die Client-ID und den generierten gemeinsamen geheimen Schlüssel. Sie fügen diese Informationen beim Konfigurieren der Anwendung hinzu.
Der geheime Schlüssel des Clients muss vertraulich behandelt werden. Wenn eine bereitgestellte App den geheimen Schlüssel nicht beibehalten kann, konfigurieren Sie sie mit dem Clienttyp „Öffentlich“.
Hinweis: Der gemeinsame geheime Schlüssel wird nicht gespeichert. Wenn Sie den geheimen Code verlieren, müssen Sie einen neuen geheimen Schlüssel generieren und die App aktualisieren, die denselben gemeinsamen geheimen Schlüssel mit dem neu generierten geheimen Schlüssel verwendet.
Um einen geheimen Schlüssel neu zu generieren, klicken Sie auf der Seite „OAuth 2.0-Verwaltung“ auf die Client-ID, für die ein neuer geheimer Schlüssel erforderlich ist, und dann auf GEHEIMEN SCHLÜSSEL NEU GENERIEREN.
Nächste Schritte
Konfigurieren Sie in der Ressourcenanwendung die Client-ID und den generierten gemeinsamen geheimen Schlüssel. Weitere Informationen hierzu finden Sie in der Anwendungsdokumentation.
War diese Seite hilfreich?