Hinzufügen und Konfigurieren einer externen SAML-Identitätsanbieter-Instanz in Omnissa Access

1. Geben Sie die SAML-Metadaten-URL oder den xml-Inhalt in das Textfeld ein. Klicken Sie auf IDP-Metadaten verarbeiten.
2. Wählen Sie aus, wie der Benutzer identifiziert werden soll. Der in einer eingehenden SAML-Assertion gesendete Bezeichner kann entweder im Subjekt- oder im Attributelement gesendet werden.
   • NameID-Element. Die Benutzer-ID wird aus dem NameID-Element des Bezeichner-Elements abgerufen.
   • SAML-Attribut. Die Benutzer-ID wird aus einem bestimmten Attribut oder einem AttributeStatement-Element abgerufen.
3. Wenn Sie NameID-Element auswählen, werden die vom Identitätsanbieter unterstützten NameID-Formate aus den Metadaten extrahiert und der angezeigten Tabelle „Namens-ID-Format“ hinzugefügt.
   • Wählen Sie in der Spalte Namens-ID-Wert die Benutzerattribute aus, die im Omnissa Access-Dienst für die Zuordnung zu den angezeigten Namens-ID-Formaten konfiguriert sind. Sie können benutzerdefinierte externe Namens-ID-Formate hinzufügen und den Benutzerattributwerten im Omnissa Access-Dienst zuordnen.
   • Wählen Sie die Antwort Namens-ID-Richtlinie in SAML-Anforderung im zu verwendenden ID-Zeichenfolgenformat aus. Dieses Format muss mit der spezifischen Konfiguration des Namens-ID-Richtlinienformats des externen Identitätsanbieters übereinstimmen, das zum Einrichten einer Vertrauensstellung mit dem Omnissa Access-Dienst verwendet wird.
   • (Nur Cloud) Wählen Sie die Option Betreff in SAML-Anforderung senden (falls verfügbar) als Anmeldehinweis oder als Hinweis für die Authentifizierung wie MFA. Wenn Sie diese Option aktivieren, können Sie auch die Option Betreffwert basierend auf NameID-Formatzuordnung senden aktivieren, um den von der Drittanbieter-App bereitgestellten Anmeldehinweis dem NameID-Wert zuzuordnen.
     Hinweis: Bei aktivierter Option Betreffwert basierend auf NameID-Formatzuordnung senden ist der Omnissa Access-Dienst anfällig für ein Sicherheitsrisiko, das als Benutzer-Enumeration bekannt ist. Aktivieren Sie diese Option mit Vorsicht.
     Beispiel für eine Konfiguration, bei der die Option zum Senden des Betreffwerts basierend auf der Zuordnung des NameID-Formats aktiviert ist
     Konfiguration des Identitätsanbieters eines Drittanbieters
     • App „X“ befindet sich im Verbund mit Omnissa Access.
     • Der Identitätsanbieter des Drittanbieters hat den Wert NameID dem userPrincipleName zugeordnet. In dieser Konfiguration wird die E-Mail des Endbenutzers nicht dem userPrincipleName des externen Identitätsanbieters zugeordnet.
     • Die Zugriffsrichtlinie für App „X“ enthält eine Regel, nach der der externe Identitätsanbieter zur Authentifizierung des Benutzers verwendet wird.
     Ablauf der Endbenutzerauthentifizierung
     • Der Endbenutzer wählt die App „X“ aus.
     • App „X“ zeigt dem Endbenutzer eine Anmeldeseite zur Eingabe seiner E-Mail-Adresse an.
     • App „X“ sendet die E-Mail als Anmeldehinweis zurück an Omnissa Access.
     • Da Betreffwert basierend auf NameID-Formatzuordnung senden aktiviert ist, nimmt Omnissa Access die E-Mail an und findet den UserPrincipleName für diesen Benutzer.
     • Omnissa Access sendet die SAML-Anforderung mit dem entsprechenden UserPrincipleName, der dem für die Authentifizierung des Endbenutzers verantwortlichen externen Identitätsanbieter zugeordnet wurde.
4. Wenn Sie SAML-Attribut auswählen, fügen Sie das Attributformat und den Attributnamen ein. Wählen Sie das Benutzerattribut im Omnissa Access-Dienst aus, um es dem SAML-Attribut zuzuordnen.

Ordnen Sie im Textfeld <strong>SAML-Kontext</strong> den Namen der Authentifizierungsmethode dem SAML-Authentifizierungskontext zu, der vom externen Identitätsanbieter in der SAML-Antwort gesendet wird. Wählen Sie im Dropdown-Menü eine Zeichenfolge für die SAML-Authentifizierungskontextklasse in der Liste der häufig verwendeten Zeichenfolgen aus oder geben Sie eine benutzerdefinierte Zeichenfolge ein. <br><br>

Geben Sie im Textfeld <strong>Beschreibung</strong> den Inhalt ein, damit der Benutzer erkennen kann, ob er diese Authentifizierungsmethode auswählen sollte. Der Text im Textfeld <strong>Beschreibung</strong> wird auf der Seite mit der Anmeldeaufforderung „Authentifizierung auswählen“ angezeigt, wenn es sich bei dieser Authentifizierungsmethode eines externen Identitätsanbieters um eine Authentifizierungsoption in einer Zugriffsrichtlinienregel handelt. <br><br>

Dieser Text wird nicht automatisch in die vom Browser des Endbenutzers angegebenen Sprachen übersetzt. Sie können den Inhalt jedoch in mehreren Sprachen als einen einzigen Eintrag im Textfeld „Beschreibung“ verfassen, und die Beschreibung wird unter der Authentifizierungsmethode auf der Anmeldeaufforderungsseite angezeigt. Beispiel: <br><br>
<img src="images/SAMLthirdParty.png" alt="Konfiguration der Authentifizierungsmethode eines Drittanbieters" ></td>
</tr>
<tr>
<td>Konfiguration der einmaligen Abmeldung</td>
<td>
Wenn sich Benutzer bei Workspace ONE über einen externen Identitätsanbieter (IDP) anmelden, werden zwei Sitzungen geöffnet, eine über den externen Identitätsanbieter und die zweite über den Identity Manager-Dienstanbieter für Workspace ONE. Die Lebensdauer dieser Sitzungen wird unabhängig verwaltet. Wenn Benutzer sich bei Workspace ONE abmelden, wird die Workspace ONE-Sitzung geschlossen, aber die Sitzung eines externen Identitätsanbieters ist möglicherweise immer noch geöffnet. Je nach Ihren Sicherheitsanforderungen können Sie die einmalige Abmeldung aktivieren und sie für die Abmeldung von beiden Sitzungen konfigurieren, oder Sie können die Sitzung eines externen Identitätsanbieters beibehalten. <br>
Konfigurationsoption 1 <ul>
    <li>Sie können die einmalige Abmeldung aktivieren, wenn Sie den externen Identitätsanbieter konfigurieren. Wenn der externe Identitätsanbieter das SAML-basierte Single Log Out (SLO)-Protokoll unterstützt, werden Benutzer von beiden Sitzungen abgemeldet, wenn sie sich vom Workspace ONE-Portal abmelden. Das Textfeld „Umleitungs-URL“ ist nicht konfiguriert.
</li>
<li>Wenn der externe Identitätsanbieter kein SAML-basiertes SLO unterstützt, aktivieren Sie SLO und legen im Textfeld „Umleitungs-URL“ eine Endpoint-URL für das SLO des externen Identitätsanbieters fest. Sie können auch einen Umleitungsparameter an die URL anhängen, die Benutzer an einen bestimmten Endpoint sendet. Benutzer werden zu dieser URL umgeleitet, wenn sie sich vom Workspace ONE-Portal abmelden und auch vom externen Identitätsanbieter abgemeldet werden.
</li>
</ul> 
Konfigurationsoption 2 <ul>
    <li>Eine weitere SLO-Option besteht darin, Benutzer von ihrem Workspace ONE-Portal abzumelden und sie auf eine angepasste Endpoint-URL umzuleiten. Sie aktivieren SLO, bestimmen die URL im Textfeld „Umleitungs-URL“ und den Umleitungsparameter des angepassten Endpoint. Wenn sich Benutzer vom Workspace ONE-Portal abmelden, werden sie auf diese Seite geleitet, die eine angepasste Meldung anzeigen kann. Die Sitzung des externen Identitätsanbieters ist möglicherweise weiterhin geöffnet. Die URL wird als <code>https://<access-url>/SAAS/auth/federation/slo</code> eingegeben.
</li>
</ul> 
Wenn „SLO aktivieren“ nicht aktiviert ist, besteht die Standardkonfiguration im Omnissa Access-Dienst darin, die Benutzer an die Anmeldeseite des Workspace ONE-Portals zurückzuleiten, sobald sie sich abmelden. Die Sitzung des externen Identitätsanbieters ist möglicherweise weiterhin geöffnet.</td>
</tr>
<tr>
<td>SAML-Signaturzertifikat</td>
<td>Klicken Sie auf <strong>Metadaten des Dienstanbieters</strong>, um die URL zur Metadaten-URL des Omnissa Access-SAML-Dienstanbieters anzuzeigen. Kopieren und speichern Sie die URL. Diese URL wird konfiguriert, wenn Sie die SAML-Assertion im externen Identitätsanbieter so bearbeiten, dass Omnissa Access-Benutzer zugeordnet werden können.</td>
</tr>
<tr>
<td>IdP-Hostname</td>
<td>Wenn das Textfeld „Hostname“ angezeigt wird, geben Sie den Hostnamen ein, an den der Identitätsanbieter für die Authentifizierung umgeleitet wird. Wenn Sie einen anderen Nicht-Standardport als 443 verwenden, können Sie den Hostnamen als „Hostname:Port“ einstellen. Beispiel: myco.example.com:8443.</td>
</tr>
</tbody>
</table>

3. Klicken Sie auf Hinzufügen.

Nächste Schritte

• Navigieren Sie in der Konsole zur Seite „Ressourcen“ > „Richtlinien“ und bearbeiten Sie die Standardzugriffsrichtlinie, um eine Richtlinienregel hinzuzufügen und den Namen der SAML-Authentifizierungsmethode als zu verwendende Authentifizierungsmethode auszuwählen. Weitere Informationen finden Sie unter Verwalten von Zugriffsrichtlinien im Omnissa Access-Dienst.
• Bearbeiten Sie die Identitätsanbieterkonfiguration Dritter so, dass die von Ihnen gespeicherte URL des SAML-Signaturzertifikats hinzugefügt wird.