将 Omnissa Identity Service 与 Microsoft Entra ID 集成

在 Omnissa Connect 中启用 Omnissa Identity Service 后，可设置与 Microsoft Entra ID 的集成。

1. 在 Omnissa Identity Service“入门”向导中，单击步骤 2 集成基于 SCIM 2.0 的身份提供程序中的开始按钮。

2. 单击 Microsoft Entra ID 卡上的设置。

   

3. 按照向导设置与 Microsoft Entra ID 的集成。

步骤 1：创建目录

使用 Omnissa Identity Service 设置用户置备和身份联合的第一步是，在 Omnissa Connect 控制台中为通过身份提供程序置备的用户和组创建一个目录。

提醒：创建目录后，无法更改身份提供程序选择。在继续操作之前，请确保选择适当的身份提供程序。

过程

1. 在向导的步骤 1 常规信息中，输入要用于 Omnissa Identity Service 中已置备目录的名称。

   名称的最大长度为 128 个字符。仅允许使用以下字符：字母（a-z 或其他语言中的等效字符）、数字 (0-9)、空格、连字符 (-) 和下划线 (_)。

   **重要信息：**创建目录后，无法更改该目录的名称。

2. 对于域名，请输入源目录的主域名，包括扩展名，如 .com 或 .net。

   Omnissa Identity Service 当前仅支持一个域。置备的用户和组将与 Omnissa 服务中的这个域相关联。

   域名的最大长度为 100 个字符。仅允许使用以下字符：字母（a-z 或其他语言中的等效字符）、数字 (0-9)、空格、连字符 (-)、下划线 (_) 和句点 (.)。

   例如：

   

3. 单击保存并确认您的选择。

后续步骤

设置用户和组置备。

步骤 2：设置用户和组置备

在 Omnissa Identity Service 中创建目录后，可设置用户和组置备。您可以在 Omnissa Identity Service 中通过生成置备所需的管理员凭据来开始该过程，然后在 Microsoft Entra ID 中创建置备应用程序以将用户和组置备到 Omnissa Identity Service。

必备条件

您在 Microsoft Entra ID 中拥有一个管理员帐户，且该帐户具有设置置备所需的权限。

过程

1. 在 Omnissa Connect 控制台中，创建目录后，查看并复制向导的步骤 2 配置 Microsoft Entra 企业应用程序中生成的值。

   您需要这些值才能在 Microsoft Entra ID 中配置置备应用程序。

   • 租户 URL：Omnissa Identity Service 租户的 SCIM 2.0 端点。复制该值。

   • 令牌使用期限：密钥令牌的有效期限。

     默认情况下，Omnissa Identity Service 将生成使用期限为六个月的令牌。要更改令牌使用期限，请单击向下箭头，选择其他选项，然后单击重新生成以使用新值重新生成令牌。

     **重要信息：**每当更新令牌使用期限时，以前的令牌将变为无效，并且从 Microsoft Entra ID 置备用户和组会失败。您必须重新生成新令牌，然后将新令牌复制并粘贴到 Microsoft Entra ID 应用程序。

   • 密钥令牌：Microsoft Entra ID 将用户置备到 Omnissa Identity Service 所需的令牌。单击复制图标以复制该值。

     重要信息：请确保先复制令牌，然后再单击下一步。单击下一步后，令牌将不再可见，您必须生成新的令牌。如果重新生成令牌，以前的令牌将变为无效，并且置备会失败。确保将新令牌复制并粘贴到 Microsoft Entra ID 应用程序。

   例如：

   

   令牌即将过期时，Omnissa Identity Service 中将显示横幅通知。如果您还希望接收电子邮件通知，请确保您已选择接收电子邮件。请参阅如何启用电子邮件通知。

2. 在 Microsoft Entra ID 中创建置备应用程序。

   1. 登录到 Microsoft Entra 管理中心。

   2. 在左侧导航窗格中选择企业应用程序。

   3. 在“企业应用程序”>“所有应用程序”页面上，单击 + 新建应用程序。

      

   4. 单击创建您自己的应用程序。

   5. 在创建您自己的应用程序窗格中，输入应用程序的名称，然后单击创建。

   6. 在概览页面上，单击连接您的应用程序。

      

   7. 在管理员凭据下，输入从 Omnissa Identity Service 向导的配置 Microsoft Entra 企业应用程序步骤复制的令牌 URL 和密钥令牌。

      例如：

      

   8. 单击测试连接。

   9. 确保显示以下消息：

      The supplied credentials are authorized to enable provisioning.
      

      如果收到错误，请执行以下操作：

      • 确认您从 Omnissa Identity Service 向导中正确复制并粘贴了租户 URL。
      • 在 Omnissa Identity Service 向导中重新生成密钥令牌，然后重新将其复制并粘贴到应用程序中。

      然后，再次单击测试连接。

   10. 单击保存以保存应用程序。

后续步骤

返回 Omnissa Connect 控制台，继续执行 Omnissa Identity Service 向导。

步骤 3：映射 SCIM 用户属性

将要从 Microsoft Entra ID 同步的用户属性映射到 Omnissa 服务。在 Microsoft Entra 管理中心，添加 SCIM 用户属性并将其映射到 Microsoft Entra ID 属性。至少，同步 Omnissa Identity Service 及与其集成的 Omnissa 服务所需的属性。

注意：当您为新组织配置 Omnissa Identity Service 时，此部分中的信息适用。如果要将现有目录迁移到 Omnissa Identity Service，请在用户界面中查看迁移向导中的属性列表。另请参阅将目录迁移到 Omnissa Identity Service（有限可用性）。

Omnissa Access 和 Workspace ONE UEM 的所需属性

需要以下用户属性：

Microsoft Entra ID 属性	SCIM 用户属性（必需）
userPrincipalName	userName
mail	emails[type eq "work"].value
givenName	name.givenName
surname	name.familyName
objectId	externalId
Switch([IsSoftDeleted], "False", "True", "True", "False")	active

**注意：**该表显示了所需的 SCIM 属性与 Microsoft Entra ID 属性之间的典型映射。您可以将 SCIM 属性映射到与此处列出的 Microsoft Entra ID 属性不同的属性。但是，对于新组织，如果要将 Workspace ONE UEM 与 Omnissa Identity Service 集成，则必须将 externalId 映射到 objectId。

有关这些属性以及如何将其映射到 Workspace ONE 属性的详细信息，请参阅 Omnissa Identity Service 的用户属性映射。

除必需属性外，还可以同步可选属性和自定义属性。有关支持的可选属性和自定义属性列表，请参阅 Omnissa Identity Service 的用户属性映射。

Horizon Cloud 所需的属性

请参阅将 Omnissa Identity Service 与 Horizon Cloud 结合使用。

过程

1. 在 Omnissa Connect 控制台中，在向导的步骤 3 映射 SCIM 用户属性中，查看 Omnissa Identity Service 支持的属性列表。

2. 在 Microsoft Entra 管理中心，导航到您创建的置备应用程序，以将用户置备到 Omnissa Identity Service。

3. 在左侧窗格中的管理下，选择属性映射，然后选择以下选项：

   • 将置备 Microsoft Entra ID 组设置为是。
   • 将置备 Microsoft Entra ID 用户设置为是。

4. 单击置备 Microsoft Entra ID 用户链接。

5. 在“属性映射”页面上，指定 Microsoft Entra ID 属性与 SCIM 属性（Omnissa Identity Service 属性）之间的必需属性映射。

   默认情况下，有些属性包含在“属性映射”表中。根据需要查看并更新映射。

   **重要信息：**如果要通过 Omnissa Identity Service 将 Workspace ONE UEM 与 Microsoft Entra ID 集成，则必须将 externalId 映射到 objectId。

   要更新映射，请执行以下操作：

   1. 单击属性映射表中的属性。

   2. 编辑映射。对于源属性，请选择 Microsoft Entra ID 属性；对于目标属性，请选择 SCIM 属性（Omnissa Identity Service 属性）。

      例如：

      

6. 如果需要，请映射 Omnissa Identity Service 和 Omnissa 服务支持的可选用户属性。

   • 部分可选属性已显示在“属性映射”表中。如果该属性显示在表中，请单击该属性以编辑映射。否则，请单击添加新映射并指定映射。对于源属性，请选择 Microsoft Entra ID 属性；对于目标属性，请选择 SCIM 属性。

     例如：

     

   • 要添加属于 Omnissa Identity Service 架构扩展的属性（路径中包含 urn:ietf:params:scim:schemas:extension:ws1b: 的属性），请单击添加新映射，然后指定该属性的映射。对于源属性，请选择 Microsoft Entra ID 属性；对于目标属性，请选择 SCIM 属性。

   请参阅 Omnissa Identity Service 的用户属性映射中 Omnissa Identity Service 支持的可选 SCIM 属性列表，以及如何将它们映射到 Workspace ONE 属性。

7. 如果需要，请映射 Omnissa Identity Service 和 Omnissa 服务支持的自定义用户属性。

   1. 在“属性映射”页面上，单击添加新映射。

   2. 指定映射。对于源属性，请选择 Microsoft Entra ID 属性；对于目标属性，请选择 Omnissa Identity Service 自定义属性。Omnissa Identity Service 自定义属性名为 urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:customAttribute#。Omnissa Identity Service 最多支持 5 个自定义属性。

      例如：

      

   请参阅 Omnissa Identity Service 的用户属性映射中 Omnissa Identity Service 支持的自定义 SCIM 属性列表，以及如何将它们映射到 Workspace ONE 属性。

后续步骤

返回 Omnissa Connect 控制台，继续执行 Omnissa Identity Service 向导。

步骤 4：选择身份验证协议

在 Omnissa Connect 控制台中，选择要用于联合身份验证的协议。Omnissa Identity Service 支持 OpenID Connect 和 SAML 协议。

提醒：请谨慎做出选择。选择协议并配置身份验证后，如果不删除目录，就无法更改协议类型。

Workspace ONE UEM 中某些基于用户名和密码的流程的要求

如果计划使用某些基于用户名和密码的 Workspace ONE UEM 流程，则必须在 Omnissa Identity Service 中选择 OpenID Connect 作为身份验证协议。

您还必须在 Workspace ONE UEM“目录服务”页面上启用密码授予设置，以授予使用旧版“密码授予”协议的权限。请参阅为 Omnissa Identity Service 配置 Workspace ONE UEM 设置。

有关适用这些要求的流程的详细信息，请参阅支持某些基于用户名和密码的 Workspace ONE UEM 流程。

Horizon Cloud 的要求

如果您计划将 Omnissa Identity Service 与 Horizon Cloud 结合使用，则必须选择 OpenID Connect 作为身份验证协议。

过程

1. 在 Omnissa Identity Service 向导的步骤 4 选择身份验证协议中，选择 OpenID Connect 或 SAML。

2. 如果计划在 Workspace ONE UEM 中创建基本用户，请展开设置 UEM 基本用户身份验证，并启用 UEM 的基本用户身份验证选项。

   有关更多信息，请参阅为 Workspace ONE UEM 基本用户配置身份验证。

3. 单击下一步。

   此时将显示向导的下一步，其中包含用于配置所选协议所需的值。

后续步骤

配置 Omnissa Identity Service 和身份提供程序以进行联合身份验证。

步骤 5：配置身份验证

要使用 Microsoft Entra ID 配置联合身份验证，请使用 Omnissa Identity Service 中的服务提供程序元数据在 Microsoft Entra ID 中设置 OpenID Connect 或 SAML 应用程序，并使用应用程序中的值配置 Omnissa Identity Service。

OpenID Connect

如果选择 OpenID Connect 作为身份验证协议，请按照以下步骤操作。

1. 在 Omnissa Identity Service 向导的步骤 5 配置 OpenID Connect 中，复制重定向 URI 值。

   下一步在 Microsoft Entra 管理中心创建 OpenID Connect 应用程序时，您将需要此值。

   

2. 在 Microsoft Entra 管理中心，导航到企业应用程序 > 应用程序注册。

   

3. 单击新建注册。

4. 在注册应用程序页面中，输入应用程序的名称。

5. 对于重定向 URI，请选择 Web，然后复制并粘贴从 Omnissa Identity Service 向导的配置 OpenID Connect 部分复制的重定向 URI 值。

   例如：

   

6. 单击注册。

   随后会出现 Successfully created application name 消息。

7. 为应用程序创建客户端密钥。

   1. 单击客户端凭据: 添加证书或密钥链接。

   2. 单击 + 新建客户端密钥。

   3. 在添加客户端密钥窗格中，输入密钥的描述和到期时间。

   4. 单击添加。

      此时会生成密钥，并且该密钥将显示在客户端密钥选项卡上。

   5. 单击密钥值旁边的复制图标以复制该值。

      如果在没有复制密钥的情况下离开页面，则必须生成新的密钥。

      您将在 Omnissa Identity Service 向导的后续步骤中输入密钥。

      

8. 授予应用程序调用 Omnissa Identity Service API 的权限。

   1. 在管理下，选择 API 权限。
   2. 单击为 organization 授予管理员同意，然后单击确认框中的是。

9. 复制客户端 ID。

   1. 从应用程序页面的左侧窗格中，选择概览。

   2. 复制应用程序 (客户端) ID 值。

      您将在 Omnissa Identity Service 向导的后续步骤中输入该客户端 ID。

      

10. 复制 OpenID Connect 元数据文档值。

    1. 在应用程序“概览”页面上，单击端点。

    2. 从端点窗格中，复制 OpenID Connect 元数据文档值。

       

    您将在 Omnissa Identity Service 向导的下一步中输入该 OpenID Connect 元数据文档值。

11. 在 Omnissa Connect 控制台中返回到 Omnissa Identity Service 向导，然后完成配置 OpenID Connect 部分中的配置。

    应用程序客户端 ID	粘贴从 Microsoft Entra ID OpenID Connect 应用程序复制的应用程序（客户端）ID 值。
    客户端密钥	粘贴从 Microsoft Entra ID OpenID Connect 应用程序复制的客户端密钥。
    配置 URL	粘贴从 Microsoft Entra ID OpenID Connect 应用程序复制的 OpenID Connect 元数据文档值。
    OIDC 用户标识符属性	将电子邮件属性映射到 Workspace ONE 属性以进行用户查找。
    Workspace ONE 用户标识符属性	指定要映射到 OpenID Connect 属性的 Workspace ONE 属性以进行用户查找。

12. 单击完成以完成设置 Omnissa Identity Service 与 Microsoft Entra ID 之间的集成。

SAML

如果选择 SAML 作为身份验证协议，请按照以下步骤操作。

1. 从 Omnissa Connect 控制台获取服务提供程序元数据。

   在 Omnissa Identity Service 向导的步骤 5 配置 SAML 单点登录中，复制或者下载 SAML 服务提供程序元数据。

   

   注意：使用元数据文件时，无需分别复制并粘贴实体 ID、单点登录 URL 和签名证书值。

2. 在 Microsoft Entra ID 中配置应用程序。

   1. 在 Microsoft Entra 管理中心，选择左侧窗格中的企业应用程序。

   2. 搜索并选择您在步骤 2：设置用户和组置备中创建的置备应用程序

   3. 从管理菜单中，选择单点登录。

   4. 选择 SAML 作为单点登录方法。

      

   5. 单击上载元数据文件，选择从 Omnissa Connect 控制台复制的元数据文件，然后单击添加。

      

   6. 在基本 SAML 配置窗格中，验证以下值：

      • 标识符 (实体 ID) 值应与 Omnissa Identity Service 向导的步骤 5 中显示的实体 ID 值相匹配。

        例如：https://yourIdentityServiceFQDN/SAAS/API/1.0/GET/metadata/sp.xml

      • 回复 URL (断言使用者服务 URL) 值应与 Omnissa Identity Service 向导的步骤 5 中显示的单点登录 URL 值相匹配。

        例如：https://yourIdentityServiceFQDN/SAAS/auth/saml/response

3. 从 Microsoft Entra ID 获取联合元数据。

   1. 在 Microsoft Entra ID 内的 SAML 应用程序中，滚动到 SAML 证书部分。

   2. 单击联合元数据 XML 下载链接以下载元数据。

      

4. 在 Omnissa Connect 控制台中，将联合元数据由您从 Microsoft Entra ID 下载的文件复制并粘贴到 Omnissa Identity Service 向导步骤 5 的身份提供程序元数据文本框中。

   

5. 在配置 SAML 单点登录部分中，配置其余选项。

   • 绑定协议：选择 SAML 绑定协议（HTTP POST 或 HTTP 重定向）。
   • 名称 ID 格式：使用名称 ID 格式和名称 ID 值设置，在 Microsoft Entra ID 与 Omnissa Identity Service 之间映射用户。对于名称 ID 格式，请指定 SAML 响应中使用的名称 ID 格式。
   • 名称 ID 值：选择要将 SAML 响应中收到的名称 ID 值映射到的 Omnissa Identity Service 用户属性。
   • 高级选项 > 使用 SAML 单点注销：如果您想要在用户注销 Omnissa 服务后注销其身份提供程序会话，请选择此选项。

6. 单击完成以完成设置 Omnissa Identity Service 与 Microsoft Entra ID 之间的集成。

结果

已完成 Omnissa Identity Service 与 Microsoft Entra ID 之间的集成。

将在 Omnissa Identity Service 中创建目录，当您从 Microsoft Entra ID 中的置备应用程序推送用户和组时，将填充该目录。已置备的用户和组将自动显示在您选择与 Microsoft Entra ID 集成的 Omnissa 服务中，例如 Omnissa Access 和 Workspace ONE UEM。

无法在 Omnissa Access、Workspace ONE UEM 或 Horizon Cloud Console 中编辑目录。目录、用户、用户组、用户属性和身份提供程序页面均为只读。

后续步骤

接下来，选择要将用户和组置备到的 Omnissa 服务。

如果 Workspace ONE UEM 是您选择的服务之一，请在 Workspace ONE UEM Console 中配置其他设置。

然后，从 Microsoft Entra ID 置备应用程序推送用户和组。请参阅将用户置备到 Omnissa Identity Service。