在 Omnissa Access 中新增並設定 SAML 第三方身分識別提供者執行個體

1. 在文字方塊中輸入 SAML 中繼資料 URL 或 xml 內容。按一下處理 IDP 中繼資料。
2. 選取識別使用者的方式。在輸入 SAML 判斷提示中傳送的識別碼，可透過主體或屬性元素來傳送。
   • NameID 元素。從 [主旨] 元素的 NameID 元素中擷取使用者識別碼。
   • SAML 屬性。從特定屬性或 AttributeStatement 元素中擷取使用者識別碼。
3. 如果您選取 NameID 元素，則會從中繼資料擷取身分識別提供者支援的 NameID 格式，並新增至顯示的 [名稱識別碼格式] 表格。
   • 在名稱識別碼值資料行中，選取已在 Omnissa Access 服務中設定的使用者屬性，以對應至所顯示的 NameID 格式。您可以新增自訂的第三方名稱識別碼格式，並將其對應至 Omnissa Access 服務中的使用者屬性值。
   • 選取要使用的 SAML 要求中的名稱識別碼原則回應識別碼字串格式。此格式必須符合與 Omnissa Access 服務建立信任所使用的第三方 IDP 的特定名稱識別碼原則格式設定。
   • (僅限雲端) 選取選項在 SAML 要求中傳送主體 (可用時) 作為登入提示或作為驗證的提示 (例如 MFA)。啟用此選項時，您也可以啟用根據 NameID 格式對應來傳送主體值，以將第三方應用程式提供的登入提示對應至 NameID 值。
     附註：啟用根據 NameID 格式對應來傳送主體值時，Omnissa Access 服務容易遭受稱為使用者列舉的安全性風險。請謹慎啟用此選項。
     已啟用 [根據 NameID 格式對應來傳送主體值] 選項的組態範例
     第三方身分識別提供者組態
     • 應用程式「X」已與 Omnissa Access 聯盟。
     • 第三方身分識別提供者已將 NameID 值對應至 userPrincipleName。 在此組態中，使用者的電子郵件並未對應至第三方 IDP userPrincipleName。
     • 應用程式 X 存取原則具有第三方身分識別提供者用來驗證使用者的規則。
     使用者驗證流程
     • 使用者選取應用程式「X」。
     • 應用程式「X」向使用者顯示登入頁面，以輸入其電子郵件地址。
     • 應用程式「X」將電子郵件作為登入提示傳送回 Omnissa Access。
     • 由於根據 NameID 格式對應來傳送主體值已啟用，因此，Omnissa Access 會接受該電子郵件並尋找該使用者的 UserPrincipleName。
     • Omnissa Access 傳送具有對應 UserPrincipleName (對應至負責驗證使用者的第三方 IDP) 的 SAML 要求。
4. 如果您選取 SAML 屬性，請包含屬性格式和屬性名稱。在 Omnissa Access 服務中選取要對應至 SAML 屬性的使用者屬性。

在 <strong>SAML 內容</strong>文字方塊中，將驗證方法名稱對應至第三方身分識別提供者在 SAML 回應中傳送的 SAML 驗證內容。在下拉式功能表中，從常用字串清單中選取 SAML 驗證內容類別字串，也可以輸入自訂字串。<br><br>

在<strong>說明</strong>文字方塊中，撰寫相應的內容來協助使用者確定是否應選擇此驗證方法。當此第三方身分識別提供者驗證方法是存取原則規則中的驗證選項時，將在 [選取驗證] 登入提示頁面中顯示<strong>說明</strong>文字方塊中的文字。<br><br>

此文字不會自動翻譯為使用者瀏覽器所指定的語言。但是，您可以在 [說明] 文字方塊中將多種語言的內容撰寫為一個單一項目，這項說明將顯示在登入提示頁面上的驗證方法之下。例如：<br><br>
<img src="images/SAMLthirdParty.png" alt="第三方驗證方法組態" ></td>
</tr>
<tr>
<td>單一登出組態</td>
<td>
當使用者從第三方身分識別提供者 (IDP) 登入 Workspace ONE 時，系統會開啟兩個工作階段，其中一個適用於第三方身分識別提供者，另一個則適用於 Workspace ONE 的 Identity Manager 服務提供者。您可以分別管理這些工作階段的存留期。當使用者登出 Workspace ONE 時，隨即會關閉 Workspace ONE 工作階段，但第三方 IDP 工作階段仍可能處於開啟狀態。根據您的安全性需求，您可以啟用單一登出並設定同時登出兩個工作階段，或選擇保留第三方 IDP 的工作階段。<br>
組態選項 1 <ul>
    <li>當您設定第三方身分識別提供者時，可以啟用單一登出。如果第三方身分識別提供者支援 SAML 式單一登出通訊協定 (SLO)，則使用者登出 Workspace ONE 入口網站時，即會同時登出兩個工作階段。未設定 [重新導向 URL] 文字方塊。
</li>
<li>如果第三方 IDP 不支援 SAML 式單一登出，您可以啟用單一登出，並在 [重新導向 URL] 文字方塊中指定 IDP 單一登出端點 URL。您也可以新增重新導向參數，以附加至將使用者傳送至特定端點的 URL。當使用者登出 Workspace ONE 入口網站且從 IDP 登出時，系統會將使用者重新導向至此 URL。
</li>
</ul> 
組態選項 2 <ul>
    <li>另一個單一登出選項是讓使用者登出 Workspace ONE 入口網站，並將其重新導向至自訂的端點 URL。您可以啟用單一登出、在 [重新導向 URL] 文字方塊中指定 URL，以及自訂端點的重新導向參數。當使用者登出 Workspace ONE 入口網站時，系統會將其導向這個可以顯示自訂訊息的頁面。第三方 IDP 工作階段仍可能處於開啟狀態。URL 輸入為 <code>https://<access-url>/SAAS/auth/federation/slo</code>。
</li>
</ul> 
如果未啟用 [啟用單一登出]，Omnissa Access 服務的預設組態設定是在使用者登出時將其導回 Workspace ONE 入口網站的登入頁面。第三方 IDP 工作階段仍可能處於開啟狀態。</td>
</tr>
<tr>
<td>SAML 簽署憑證</td>
<td>按一下<strong>服務提供者 (SP) 中繼資料</strong>，以查看 Omnissa Access SAML 服務提供者中繼資料的 URL。複製並儲存該 URL。當您在第三方身分識別提供者中編輯 SAML 判斷提示以對應 Omnissa Access 使用者時，會設定此 URL。</td>
</tr>
<tr>
<td>IdP 主機名稱</td>
<td>如果顯示 [主機名稱] 文字方塊，請輸入身分識別提供者重新導向到的主機名稱，以進行驗證。如果使用的是 443 以外的非標準連接埠，您可以將主機名稱設定為「主機名稱:連接埠」。例如 myco.example.com:8443。</td>
</tr>
</tbody>
</table>

3. 按一下新增。

後續步驟

• 在主控台中，前往 [資源] > [原則] 頁面，然後編輯預設存取原則，以新增原則規則，從而選取 SAML 驗證方法名稱作為要使用的驗證方法。請參閱在 Omnissa Access 服務中管理存取原則。
• 編輯第三方身分識別提供者的組態，以新增您儲存的 SAML 簽署憑證 URL。