IDP esterno
XProtect supporta IDP esterni compatibili con OpenID Connect (OIDC).
Autenticazione utente
Con un'IDP esterna configurata, il XProtect I client supportano l'uso di Identity Provider esterni come opzione di autenticazione aggiuntiva.
Quando l'indirizzo del computer nella schermata di accesso del client punta al XProtect VMS con un'IDP esterna configurata, verrà attivata una chiamata API e l'opzione di autenticazione per l'IDP esterna sarà disponibile nella schermata di accesso. La chiamata API viene attivata all'avvio del client e ogni volta che l'indirizzo viene modificato.
La particolare API che il client interroga è un'API pubblica che non richiede alcuna autenticazione dell'utente, quindi queste informazioni possono sempre essere lette dal client.
Attestazioni
Un'attestazione è un'affermazione che un'entità come un utente o un'applicazione fa di se stessa.
L'attestazione è costituita da un nome di attestazione e da un valore di attestazione. Ad esempio, il nome dell'attestazione potrebbe essere un nome standard che descrive il contenuto del valore dell'attestazione e il valore dell'attestazione potrebbe essere il nome di un gruppo. Vedere altri IDP di attestazioni di un IDP esterno: Esempio di attestazioni di un esempio esterno.
Le attestazioni non sono obbligatorie. Tuttavia, sono necessari per collegare automaticamente gli IDP esterni ai ruoli nel XProtect VMS per determinare le autorizzazioni degli utenti. Le attestazioni sono incluse nel token ID degli utenti dall'IDP esterno e tramite l'associazione con i ruoli in cui determinano le autorizzazioni dell'utente XProtect.
Se richieste di risarcimento relative a XProtect I ruoli del VMS non sono forniti per gli utenti IDP esterni, gli utenti IDP esterni possono essere creati in XProtect VMS al primo accesso. In questo caso gli IDP esterni non sono collegati ad alcun ruolo. La XProtect L'amministratore del VMS deve quindi aggiungere manualmente gli utenti ai ruoli.
Prerequisiti per gli IDP esterni
I seguenti passaggi devono essere completati nell'IDP esterno prima che venga configurato nel VMS.
L'ID client e il segreto per l'utilizzo con XProtect Il VMS deve essere stato creato nell'IDP esterno. Per ulteriori informazioni, consultare Nomi utente univoci per gli IDP esterni.
L'autorità di autenticazione per l'IDP esterna deve essere nota. Per ulteriori informazioni, vedere le informazioni sull'autorità di autenticazione per l'IDP esterna nella finestra di dialogo Opzioni.
URI di reindirizzamento a XProtect Il VMS deve essere stato configurato nell'IDP. Per ulteriori informazioni, vedere Aggiungere URI di reindirizzamento per i client Web.
In via opzionale, le attestazioni relative al VMS devono essere state configurate per gli utenti o i gruppi nell'IDP.
La XProtect Il VMS deve essere completamente configurato con i certificati per garantire che tutta la comunicazione venga effettuata su https crittografati. Altrimenti, la maggior parte degli IDP esterni non accetterà richieste dal XProtect Il VMS e i suoi client o una parte del flusso di comunicazione e dello scambio di token di sicurezza non riusciranno.
Deve essere possibile per XProtect VMS e tutti i computer client o gli smartphone che devono utilizzare l'IDP esterno per contattare l'indirizzo di accesso dell'IDP esterno
Consenti agli utenti di accedere a XProtect VMS da un IDP esterno
Dall'IDP esterno, creare gli utenti e creare attestazioni per identificare gli utenti come utenti IDP esterni nella XProtect VMS. La creazione di attestazioni non è un passaggio obbligatorio, ma è così che si abilita automaticamente il collegamento degli utenti ai ruoli. Per ulteriori informazioni, consultare Attestazioni.
Da XProtect VMS, creare una configurazione che consenta all'Identity Provider, integrato nel VMS, di contattare l'IDP esterno. Per ulteriori informazioni sulla creazione di una configurazione per un IDP esterno, vedere Aggiunta e configurazione di un IDP esterno.
Da XProtect VMS, stabilire l'autenticazione degli utenti mappando le attestazioni utente dall'IDP esterno a XProtect Ruoli. Per ulteriori informazioni su come associare le attestazioni ai ruoli, vedere Eseguire il mapping delle attestazioni da un IDP esterno ai ruoli in XProtect.
Accedi a un XProtect client che utilizza un IDP esterno per l'autenticazione utente, vedere Login tramite IDP esterno.
URI di reindirizzamento
L'URI di reindirizzamento specifica la pagina a cui viene inviato l'utente dopo un'autenticazione riuscita. Nell'IDP esterno, è necessario aggiungere l'indirizzo del server di gestione seguito dal percorso di callback definito in XProtect Management Client. Ad esempio, https://management-server-computer.company.com/idp/signin-oidc
A seconda di come XProtect È possibile accedere al VMS, come è configurata la rete, i server e Microsoft Active Directory, potrebbero essere necessari diversi URI di reindirizzamento. Di seguito sono riportati alcuni esempi:
Esempi:
Server di gestione con o senza dominio nell'URL:
“
https://[server_name]/idp/signin-oidc”“
https://[server_name].[domain_name]/idp/signin-oidc”
Server mobile con o senza dominio nell'URL:
“
https://[server_name]:[mobile_port]/idp/signin-oidc”“
https://[server_name].[domain_name]:[mobile_port]/idp/signin-oidc”
Se il server mobile è configurato per l'accesso via Internet, è necessario aggiungere anche l'indirizzo pubblico e le porte.
Nomi utente univoci per gli IDP esterni
I nomi utente vengono creati automaticamente per gli utenti che accedono a Milestone XProtect tramite un IDP esterno.
L'IDP esterno fornisce una serie di attestazioni per la creazione automatica di un nome per l'utente in XProtecte in XProtect Un algoritmo viene utilizzato per selezionare un nome dall'IDP esterno univoco nel database del VMS.
Esempio di attestazioni di un IDP esterno
Le attestazioni sono costituite da un nome attestazione e da un valore attestazione. Ad esempio:
Nome attestazione | Valore attestazione |
|---|---|
nome | Raz Van |
123@domain.com | |
AMR | pwd |
IDP | 00o2ghkgazGgi9BIE5d7 |
preferred_username | 321@domain.com |
vmsRole | Operatore |
impostazioni locali | it-IT |
given_name | Raz |
family_name | Lindberg |
zoneinfo | America/Los_Angeles |
e-mail_verified | Vero |
Utilizzo del numero di sequenza dell'attestazione per creare nomi utente in XProtect
Ingresso XProtect, la priorità di ricerca per quando si crea un utente in XProtect Il VMS è controllato dal numero di sequenza delle attestazioni riportate nella tabella sottostante. Il primo nome dell'attestazione disponibile verrà utilizzato in XProtect VMS:
Nome attestazione | Numero di sequenza | Descrizione |
|---|---|---|
UserNameClaimType | 1 | Mappatura configurata con un'attestazione per definire il nome utente. L'attestazione è definita nella Attestazione da utilizzare per creare il nome utente campo sulla Esterno IDP scheda sotto Strumenti > Opzioni. |
preferred_username | 2 | Attestazione che può provenire dall'IDP esterno. Un'attestazione standard normalmente utilizzata in Oidc (OpenID Connect). |
nome | 3 | |
given_name_family_name | 4 | Nome e cognome in una combinazione come Bob Johnson. |
5 | ||
Prima attestazione disponibile + #(primo numero disponibile) | 6 | Ad esempio, Bob#1 |
Definizione di attestazioni specifiche in cui creare nomi utente XProtect
La XProtect Gli amministratori possono definire un'attestazione specifica dall'IDP esterno che deve essere utilizzata per creare un nome utente in XProtect VMS. Quando un amministratore definisce un'attestazione da utilizzare per la creazione del nome utente nel XProtect VMS: il nome dell'attestazione deve essere scritto esattamente come il nome dell'attestazione proveniente dall'IDP esterno.
L'attestazione da utilizzare per il nome utente può essere definita nel campo Attestazione da utilizzare per creare un nome utente in Esterno IDP in Strumenti > Opzioni.
Eliminazione utenti IDP esterni in corso
Utenti creati in XProtect Un IDP esterno cancella il login allo stesso modo di un utente base e l'utente può essere cancellato in qualsiasi momento dopo la creazione dell'utente.
Se un utente viene eliminato in XProtect E l'utente accede nuovamente dall'IDP esterno, verrà creato un nuovo utente in XProtect. Tuttavia, i dati associati all'utente in XProtect Ad esempio, le viste e i ruoli privati vanno persi e queste informazioni devono essere ricreate per l'utente in XProtect.
Se viene eliminato un IDP esterno nel Management Client, vengono eliminati anche tutti gli utenti connessi al VMS tramite l'IDP esterno.