在为 Omnissa Access 部署添加和配置新的 SAML 身份提供程序实例时，您可以提供高可用性，支持额外的用户身份验证方法，以及灵活地根据用户 IP 地址范围管理用户身份验证过程。
必备条件
在添加第三方身份提供程序实例之前，请完成以下任务。
- 确认第三方实例符合 SAML 2.0 标准，并且 Omnissa Access 服务可以访问第三方实例。
- 协调与第三方身份提供程序的集成。根据身份提供程序，您可能需要统一配置两者的设置。
- 获取相应的第三方元数据信息，以便在 Omnissa Access 控制台中配置身份提供程序时添加该信息。您从第三方实例获取的元数据信息可以是元数据的 URL 或实际的元数据。
过程
-
在 Omnissa Access 控制台的集成 > 身份提供程序页面中，单击添加，然后选择 SAML IDP。
-
配置以下设置。
| 表单项目 |
描述 |
| 身份提供程序名称 |
输入此身份提供程序实例的名称。 |
| SAML 元数据 |
添加第三方身份提供程序基于 XML 的元数据文档，以便与身份提供程序建立信任关系。
- 在文本框中输入 SAML 元数据 URL 或 xml 内容。单击处理 IDP 元数据。
- 选择如何标识用户。可以在主体或属性元素中发送在入站 SAML 断言中发送的标识符。
- NameID 元素。将从主体元素的 NameID 元素中检索用户标识符。
- SAML 属性。将从特定属性或 AttributeStatement 元素中检索用户标识符。
- 如果选择 NameID 元素，将从元数据中提取身份提供程序支持的 NameID 格式，并将其添加到显示的“名称 ID 格式”表中。
- 在名称 ID 值列中，选择在 Omnissa Access 服务中配置的用户属性以映射到显示的 NameID 格式。您可以添加自定义第三方名称 ID 格式并将其映射到 Omnissa Access 服务中的用户属性值。
- 选择要使用的 SAML 请求中的名称 ID 策略响应标识符字符串格式。此格式必须与用于与 Omnissa Access 服务建立信任的第三方 IDP 的特定名称 ID 策略格式配置相匹配。
- （仅限云）选择在 SAML 请求中发送主体（如果可用）选项作为登录提示或作为身份验证（如 MFA）的提示。启用此选项后，您还可以启用基于 NameID 格式映射发送主体值，以将第三方应用程序提供的登录提示映射到 NameID 值。
注意：启用基于 NameID 格式映射发送主体值后，Omnissa Access 服务容易遭受称为用户枚举的安全风险。因此，请谨慎启用此选项。
已启用“基于 NameID 格式映射发送主体值”选项的配置示例
第三方身份提供程序配置
- 将应用程序“X”与 Omnissa Access 联合。
- 第三方身份提供程序已将 NameID 值映射到 userPrincipleName。
在此配置中，未将最终用户的电子邮件映射到第三方 IDP 的 userPrincipleName。
- 应用程序“X”访问策略具有一条规则，规定使用第三方身份提供程序对用户进行身份验证。
最终用户身份验证流程
- 最终用户选择应用程序“X”。
- 应用程序“X”向最终用户显示登录页面以输入其电子邮件地址。
- 应用程序“X”将电子邮件作为登录提示发送回 Omnissa Access。
- 由于已启用基于 NameID 格式映射发送主体值，因此 Omnissa Access 会接受该电子邮件并查找该用户的 UserPrincipleName。
- Omnissa Access 发送 SAML 请求，其中将包含映射到负责对最终用户进行身份验证的第三方 IDP 的对应 UserPrincipleName。
- 如果选择 SAML 属性，请包含“属性格式”和“属性名称”。在 Omnissa Access 服务中选择要映射到 SAML 属性的用户属性。
|
| 即时用户置备 |
即时置备用户会在他们登录时根据身份提供程序发送的 SAML 断言进行动态创建和更新。请参阅即时用户置备在 Workspace Access 中的工作方式。如果启用 JIT，请输入 JIT 目录的目录名称和域名。 |
| 用户 |
选择包含可使用此身份提供程序进行身份验证的用户的目录。 |
| 网络 |
此处列出了在服务中配置的现有网络范围。
根据用户 IP 地址，选择要定向到此身份提供程序实例进行身份验证的用户的网络范围。 |
| 身份验证方法 |
输入要与此第三方身份提供程序关联的身份验证方法名称。您可以输入多种身份验证方法以与第三方身份提供程序相关联。为每种身份验证方法提供一个标识身份验证方法的友好名称。您可以在访问策略中选择身份验证方法名称，以配置第三方 IDP 身份验证方法的规则。
将身份验证方法名称映射到第三方身份提供程序在 SAML 响应中发送的 SAML 身份验证上下文。在下拉菜单中，从常用字符串列表中选择 SAML 身份验证上下文类字符串，也可以输入自定义字符串。 |
| 单点注销配置 |
用户从第三方身份提供程序 (Identity Provider, IDP) 登录 Workspace ONE 时，会打开两个会话，一个会话关于第三方身份提供程序，第二个会话关于 Workspace ONE 的 Identity Manager 服务提供程序。这两个会话的生命周期是单独管理的。用户注销 Workspace ONE 时，Workspace ONE 会话会关闭，但第三方 IDP 会话可能仍打开。根据您的安全要求，您可以启用单点注销，并将单点注销配置为注销这两个会话，或者也可以保持第三方 IDP 会话不变。
配置选项 1
- 您可以在配置第三方身份提供程序时启用单点注销。如果第三方身份提供程序支持基于 SAML 的单点注销协议 (SLO)，从 Workspace ONE 门户中注销用户时，将从这两个会话中注销用户。不配置“重定向 URL”文本框。
- 如果第三方 IDP 不支持基于 SAML 的单点注销，则启用单点注销，并在“重定向 URL”文本框中指定 IDP 单点注销端点 URL。您还可以在将用户发送到特定端点的 URL 之后添加重定向参数。用户从 Workspace ONE 门户注销，同时从 IDP 注销时，会被重定向到此 URL。
配置选项 2
- 另一个单点注销选项是将用户从其 Workspace ONE 门户注销，并将他们重定向到自定义的端点 URL。您需要启用单点注销，在“重定向 URL”文本框中指定此 URL，以及自定义端点的重定向参数。用户从 Workspace ONE 门户注销时，会被重定向到此页面，此页面中可以显示自定义消息。第三方 IDP 会话可能仍处于打开状态。该 URL 输入为
https:///SAAS/auth/federation/slo。
如果未启用“启用单点注销”，Omnissa Access 服务中的默认配置是当用户注销时，将用户定向回 Workspace ONE 门户登录页面。第三方 IDP 会话可能仍处于打开状态。 |
| SAML 签名证书 |
单击服务提供程序 (SP) 元数据以查看 Omnissa Access SAML 服务提供程序元数据 URL。复制并保存该 URL。在第三方身份提供程序中编辑 SAML 断言以映射 Omnissa Access 用户时，将配置该 URL。 |
| IdP 主机名 |
如果显示“主机名”文本框，请输入为进行身份验证而将身份提供程序重定向到的主机名。如果使用 443 以外的非标准端口，则可以将主机名设置为“主机名:端口”。例如，myco.example.com:8443。 |
- 单击添加。
后续步骤
- 在控制台中，转到“资源”>“策略”页面，然后编辑默认访问策略以添加策略规则，从而选择 SAML 身份验证方法名称作为要使用的身份验证方法。请参阅在 Omnissa Access 服务中管理访问策略。
- 编辑第三方身份提供程序的配置以添加保存的 SAML 签名证书 URL。