Automatische Benutzerbereitstellung mit externer IDP
XProtect unterstützt die Identitätssynchronisation zwischen Ihrem Identity Provider und dem VMS über SCIM (System for Cross-site Identity Management).
SCIM ermöglicht eine automatische Benutzerbereitstellung beim Zugriff auf das VMS über einen externen IDP. Alle Änderungen an Benutzerberechtigungen sind sofort im VMS ablesbar; eine neue Anmeldung ist nicht erforderlich.
Um die SCIM-basierte Benutzerbereitstellung mit einem externen IDP anzuwenden, muss der Identity Provider in Ihrem System als externer IDP konfiguriert werden. Weitere Informationen finden Sie unter Fügen Sie einen externen IDP hinzu und konfigurieren Sie ihn.
SCIM-Austausch und Benutzeridentität
Während des SCIM-Austauschs werden die in Ihrem externen IDP konfigurierten Benutzer mit den Benutzern von XProtect abgeglichen. Die Eigenschaft „ID“ der Benutzeridentität wird als primäre Kennung genutzt. Standardmäßig hat die Eigenschaft den Wert einer Teilforderung, aber das kann je nach Identity Provider sehr unterschiedlich ausfallen. Eine fehlende Übereinstimmung kann dazu führen, dass der Benutzer bei der Anmeldung zweimal bereitgestellt wird.
Anmerkung
Die Unterforderung ist nicht identisch mit der Forderung, die als Quelle von Benutzernamen verwendet wird, die während der Konfiguration des externen IDP erstellt wird.
Weitere Informationen zur Konfiguration der primären Kennung finden Sie in der SCIM-Einführung.
Konfiguration eines Identity Providers (IDP) für SCIM
Im Allgemeinen konfigurieren Sie einen Client mit SCIM-Berechtigungen und verknüpfen diesen mit einem externen Anbieter, um Ihren Identity Provider (IDP) für SCIM zu konfigurieren.
Wenn ihr externer IDP in Ihrem lokalen Netzwerk bereitgestellt wird, erstellen Sie die Verknüpfung auf der Basis der URL des VMS-IDP in der SCIM-Konfiguration des externen IDP.
Wenn sich Ihr externer IDP in einem Netzwerk befindet, das nicht direkt mit dem Netzwerk Ihres VMS kommunizieren kann, können Sie die von einem Kommunikations-Tunneling-Tool bereitgestellte URL als Eintrittspunkt zum IDP Ihres VMS nutzen.
Inhalte von Benutzernamen
Für den korrekten Verlauf des SCIM-Verfahrens zur Synchronisierung des externen IDP und des VMS müssen die Namen der bereitgestellten Identitäten den Benennungskonventionen von XProtect entsprechen. Darüber hinaus sind die folgenden Zeichen nicht zulässig: ?, \, /, [, ].
Benutzer löschen
Um Benutzerlöschungen auf eine Art und Weise zu verwalten, dass sie konkreten Richtlinien und Anforderungen entsprechen, löschen einige Identity Provider unter Umständen nicht die Benutzer dauerhaft aus dem System. Stattdessen können die Benutzer deaktiviert werden. Das bedeutet, dass sie so behandelt werden, als existierten sie nicht mehr.
Wenn die Benutzer in diesen Fällen dauerhaft gelöscht werden müssen, kann ein XProtect-Administrator eine Einstellung aktivieren, mit der die Benutzer nach einer bestimmten Anzahl von Tagen (Standard: 30) dauerhaft aus dem VMS gelöscht werden. Die Einstellung ist aktiviert; der Zeitrahmen kann über eine API festgelegt werden. Die zu befolgenden Schritte sind unter SCIM-Einführung erläutert.