externí IDP
XProtect podporuje externí IDP, které jsou kompatibilní s OpenID Connect (OIDC).
Ověření uživatelů
S externím IDP nakonfigurován XProtect Klienti podporují použití externích IDP jako další možnosti ověřování.
Kdy adresa počítače na přihlašovací obrazovce klienta odkazuje na XProtect Systém VMS s nakonfigurovaným externím IDP, spuštěním volání API a možností ověření pro externí IDP na přihlašovací obrazovce. Volání API se aktivuje při spuštění klienta a při změně adresy.
Konkrétní API, které klient požaduje, je veřejné API, které nevyžaduje žádné ověření uživatelů, takže tyto informace může klient vždy přečíst.
Nároky
Tvrzení je prohlášení, které o sobě učiní subjekt, jako je uživatel nebo aplikace.
Nárok se skládá z názvu nároku a hodnoty nároku. Například název deklarace může být standardní název, který popisuje obsah hodnoty deklarace, a hodnota deklarace může být název skupiny. Viz více příkladů nároků od externího IDP: Příklad nároků od externího IDP .
Reklamace nejsou povinné. Jsou však nezbytné k tomu, aby bylo možné automaticky propojit externí uživatele IDP s rolemi v XProtect Systém VMS za účelem určení oprávnění uživatelů. Deklarace jsou zahrnuty v ID tokenu uživatele z externího IDP a prostřednictvím přidružení k rolím určují oprávnění uživatele v XProtect.
Pokud se nároky týkají XProtect Role systému VMS nejsou poskytovány pro externí uživatele IDP, externí uživatelé IDP mohou být vytvořeni v XProtect Systém VMS, když se poprvé přihlásí. V takovém případě nejsou externí uživatelé IDP spojeni s žádnými rolemi. The XProtect Správce VMS pak musí ručně přidat uživatele do rolí.
Nezbytné podmínky pro externí IDP
Před konfigurací v systému VMS je třeba provést v externím IDP následující kroky.
ID klienta a tajný klíč pro použití s XProtect Systém VMS musí být vytvořen v externím IDP. Více informací viz Jedinečná uživatelská jména pro externí IDP.
Musí být známa autority pro ověřování externího IDP. Pro další informace viz informace o Autorita ověřování pro externí IDP v Možnosti Dialogové okno.
Přesměrování identifikátorů URI na XProtect Systém VMS musí být nakonfigurován v IDP. Pro další informace viz Přidání identifikátorů URI pro přesměrování pro webové klienty.
Volitelně musí být deklarace související se systémem VMS nakonfigurovány pro uživatele nebo skupiny v IDP.
The XProtect Systém VMS musí být plně nakonfigurován s certifikáty, aby se zajistilo, že veškerá komunikace probíhá prostřednictvím šifrovaných protokolů HTTPS. Jinak většina externích IDP nebude přijímat žádosti od uživatele XProtect Systém VMS a jeho klienti nebo část komunikačního toku a výměny tokenů zabezpečení selže.
Musí být možné, aby XProtect VMS a všechny klientské počítače nebo chytré telefony, které by měly používat externí IDP pro kontaktování přihlašovací adresy externího IDP
Umožněte uživatelům přihlásit se k XProtect VMS z externího IDP
Z externího IDP vytvořte uživatele a vytvářejte deklarace o identifikaci uživatelů jako externích IDP v XProtect VMS. Vytváření deklarací není povinné, ale takto můžete aktivovat automatické propojení uživatelů s rolemi. Více informací viz Nároky.
Od XProtect VMS, vytvořte konfiguraci, která umožní Identity Provider, který je integrován do systému VMS, kontaktovat externího IDP. Více informací o tom, jak vytvořit konfiguraci pro externí IDP, viz Přidání a konfigurace externího IDP.
Od XProtect VMS, nastavte ověřování uživatelů mapováním deklarací uživatele z externího IDP na XProtect Role. Více informací o tom, jak mapovat nároky na role, viz Mapové deklarace z externího IDP na role v XProtect.
Přihlášení do XProtect Klient využívající externí IDP k ověřování uživatelů, viz Přihlášení pomocí externího IDP.
Přesměrování identifikátorů URI
Identifikátor URI pro přesměrování určuje stránku, na kterou je uživatel odeslán po úspěšném ověření. Ve svém externím IDP musíte přidat adresu serveru pro správu následovanou cestou zpětného volání, kterou jste definovali v XProtect Management Client. Například https://management-server-computer.company.com/idp/signin-oidc
Podle toho, jak XProtect VMS je přístupný, jak je nakonfigurována síť, servery a Microsoft Active Directory, může být zapotřebí několik přesměrování URI, můžete vidět některé příklady níže:
Příklady:
Server pro správu s nebo bez domény v adrese URL:
“
https://[server_name]/idp/signin-oidc”“
https://[server_name].[domain_name]/idp/signin-oidc”
Mobilní server s doménou nebo bez domény v adrese URL:
“
https://[server_name]:[mobile_port]/idp/signin-oidc”“
https://[server_name].[domain_name]:[mobile_port]/idp/signin-oidc”
Pokud je mobilní server nastaven pro přístup přes internet, musíte také přidat veřejnou adresu a porty.
Jedinečná uživatelská jména pro externí IDP
Uživatelská jména se automaticky vytvoří pro uživatele, kteří se přihlásí do Milestone XProtect prostřednictvím externího IDP.
Externí IDP poskytuje sadu deklarací, které automaticky vytvářejí jméno uživatele v XProtecta v XProtect K výběru názvu z externího IDP, který je v databázi VMS jedinečný, se používá algoritmus.
Příklad nároků od externího IDP
Pohledávky se skládají z názvu pohledávky a hodnoty pohledávky. Příklad:
Název deklarace | Hodnota deklarace |
|---|---|
název | Raz Van |
123@domain.com | |
AMR | PWD |
idp | 00o2ghkgazGgi9BIE5d7 |
Preferované_uživatelské jméno | 321@domain.com |
Role VMS | Operátor |
Národní prostředí | cs-CZ |
_Název | Raz |
Název_rodiny | Lindberg |
Informace o zóně | Amerika / Los_Angeles |
E-mail_ověřen | Pravda |
Použití sekvenčního čísla nároku k vytvoření uživatelských jmen v XProtect
V XProtect, prioritu vyhledávání při vytváření uživatele v XProtect Systém VMS je řízen pořadovým číslem tvrzení v níže uvedené tabulce. První dostupný název deklarace bude použit v XProtect VMS:
Název deklarace | Číslo sekvence | Popis |
|---|---|---|
UserNameClaimType | 1 | Nakonfigurované mapování s jedním tvrzením definujícím uživatelské jméno. Tvrzení je definováno v Deklarace identity k vytvoření uživatelského jména Pole na externí IDP Karta pod Nástroje > Možnosti. |
Preferované_uživatelské jméno | 2 | Tvrzení, které může pocházet z vnějšího IDP. Standardní deklarace, která se pro tento účel běžně používá v Oidc (OpenID Connect). |
název | 3 | |
Název_rodiny_s | 4 | Jméno a příjmení v kombinaci, jako je Bob Johnson. |
5 | ||
První dostupná reklamace + # (první dostupné číslo) | 6 | Například Bob#1 |
Definování specifických deklarací k vytvoření uživatelských jmen v XProtect
The XProtect Správci mohou definovat konkrétní nárok z externího IDP, který by měl být použit k vytvoření uživatelského jména v XProtect VMS. Když správce definuje deklaraci, kterou má použít pro vytvoření uživatelského jména v XProtect VMS, název deklarace musí být napsán přesně jako název deklarace pocházející z externího IDP.
Tvrzení o použití pro uživatelské jméno lze definovat v poli Tvrzení o použití k vytvoření uživatelského jména na kartě Externí IDP v části Nástroje > Možnosti.
Odstraňování externích IDP
Uživatelé vytvořeni v XProtect Externím IDP se přihlášení vymaže stejným způsobem jako základní uživatel a uživatel může být vymazán kdykoliv po vytvoření uživatele.
Pokud je uživatel odstraněn za XProtect A uživatel se znovu přihlásí z externího IDP, bude vytvořen nový uživatel XProtect. Údaje přidružené k uživateli však v XProtect Soukromá zobrazení a role se ztratí a tyto informace musí být pro uživatele znovu vytvořeny v XProtect.
Pokud je externí IDP odstraněn v Management Clientodstraněni jsou také všichni uživatelé připojení k systému VMS prostřednictvím externího IDP.