Authentifizierung von externem Identitätsprovider aktivieren

Sie können eine Integration mit Ihrem externen Identitätsprovider (Identity Provider, IdP) durchführen, um externe Benutzer an Ihrem IBM Cloud®-Konto zu authentifizieren. Mithilfe Ihres IdP können Sie eine Möglichkeit für Benutzer in Ihrem Unternehmen bereitstellen, die einmalige Anmeldung (Single Sign-on, SSO) zu verwenden. Sie können Ihr Cloud-Konto mit einem externen IdP verbinden, indem Sie den IBM Cloud SAML Service Provider (SP), App ID, verwenden, oder indem Sie Ihre Benutzer mit allen IBM Produkten mit IBMid föderieren.

Weitere Informationen über die Zusammenführung mit App ID und IBMid finden Sie im IBM Cloud SAML Federation Guide.

Vermeiden Sie den Versand von IBM Cloud Einladungen für Verbundbenutzer, da manuelle Einladungen nur IBMid verwenden. Die Vermischung von IBMid mit Nutzern, die automatisch von Ihrem externen IdP eingebunden werden, kann zu Verwirrung führen.

  • IBMid nutzer melden sich über die Website IBM Cloud an.
  • Externe IdP Benutzer müssen sich mit einer speziellen URL anmelden.

Diese Fehlanpassung kann zu doppelten Benutzernamen führen, was Probleme mit Kubernetes Service verursachen kann. Verwenden Sie für eine reibungslosere Nutzung nur Ihre externe IdP für das Onboarding der Benutzer.

IBM Cloud Kubernetes Service basiert bis zu Release 1.18 auf eindeutigen Benutzernamen in einem Konto. Um korrekt zu funktionieren, müssen Sie sicherstellen, dass alle Benutzernamen für alle IdPs eindeutig sind. Vergewissern Sie sich, dass sich die Benutzernamen, die über IBMid in Ihr Konto aufgenommen werden, und die Benutzer, die über eine IAM IdP in Ihr Konto aufgenommen werden, nicht überschneiden. Andernfalls können die RBAC-Regeln von IBM Cloud Kubernetes Service verwechselt und falsche Berechtigungen erteilt werden.

Zusammenschluss mit dem Dienstanbieter (SP) IBM Cloud SAML

Die Verbindung Ihres externen IdP mit Ihrem IBM Cloud-Konto vereinfacht die Anmeldung bei Ihrem Cloud-Konto für Benutzer in Ihrem Unternehmen. Nach Abschluss der Integration müssen Sie den Benutzern eine angepasste URL bereitstellen, mit der sie sich jedes Mal anmelden können. Sie brauchen niemanden zu Ihrem Konto einzuladen. Wenn sie als Benutzer in Ihrem angeschlossenen IdP's Benutzer-Repository existieren, können sie sich mit ihren Anmeldedaten über die benutzerdefinierte URL anmelden.

Wenn sich ein Benutzer erfolgreich authentifiziert, wird er automatisch zum Konto hinzugefügt. Hinzugefügten Benutzern werden standardmäßig keine Zugriffsrichtlinien zugeordnet. Durch die Verwendung dynamischer Regeln für Zugriffsgruppen oder vertrauenswürdige Profile können Sie jedoch Zugriffsrichtlinien einrichten, die automatisch auf der Grundlage von Benutzeransprüchen zugewiesen werden.

Aktivieren und Verbinden Ihres Identitätsanbieters mit dem IBM Cloud SAML SP

Wenn Sie noch keine IAM IdP Referenzen in Ihrem Konto haben, müssen Sie zuerst die Login-Einstellung für Ihr Konto aktivieren.

  1. Aktivieren Sie die Anmeldeeinstellungen für Ihr Konto.

    1. Rufen Sie in der IBM Cloud-Konsole Verwalten > Zugriff (IAM) > Identitätsprovider auf und klicken Sie auf Aktivieren.
    2. Geben Sie einen Aliasnamen für die Standardkonto-URL ein, die Sie Benutzern zur Verfügung stellen, um sich am Konto anzumelden.

    Da Sie die URL für externe Benutzer freigeben, sollten Sie darauf achten, dass der Alias eindeutig und einfach ist. Ein gängiges Format kann die Verwendung des Firmennamens oder eine Variation des Namens sein.

  2. Klicken Sie auf Hinzufügen, um Ihre IdP Referenz hinzuzufügen.

    1. Wählen Sie die IBM Cloud SAML SP.

  3. Geben Sie Ihrer SP-Konfiguration einen Namen, um sie von anderen SP-Konfigurationen zu unterscheiden, die Sie möglicherweise erstellen, um sich mit anderen IdPs zu verbinden.

  4. Überprüfen Sie die erweiterten Einstellungen und passen Sie die Standardeinstellungen bei Bedarf an.

    Die meisten IdPs unterstützen signierte Assertions, was für die Authentifizierung ausreichend ist. Die vollständige Antwortsignierung ist oft überflüssig, wenn signierte Assertions bereits aktiviert sind, da die kritischen Daten, wie z. B. die Benutzeridentität, weiterhin geschützt sind. Einige Unternehmen verlangen jedoch aufgrund von Compliance- oder Sicherheitsrichtlinien eine vollständige Antwortsignierung, um sicherzustellen, dass jeder Teil der Nachricht validiert ist.

  5. Laden Sie die SP-Konfiguration herunter. Klicken Sie auf Weiter.

  6. Gehen Sie zu Ihrem IdP und erstellen Sie eine neue SAML 2.0 Anwendung.

  7. Laden Sie die Konfiguration IBM Cloud SAML SP hoch und laden Sie die Metadaten IdP herunter.

  8. Laden Sie die Metadaten von IdP auf IBM Cloud hoch.

  9. Überprüfen Sie die erweiterten Einstellungen. Wenn Sie signierte SAML Anfragen von IBM Cloud anfordern, signiert IBM Cloud die Authentifizierungsanfragen, bevor es sie an Ihre IdP sendet. Klicken Sie auf Weiter.

  10. Klicken Sie auf Überprüfen, um die SAML Verbindung zwischen dem IBM Cloud SP und Ihrem IdP zu testen.

    1. Geben Sie Ihre IdP Anmeldedaten ein, z. B. einen Benutzernamen und ein Passwort.

  11. Zeigen Sie die Ergebnisse der Verbindung an.

    • Wenn die Verbindung fehlgeschlagen ist, vergewissern Sie sich, dass Ihre IdP Metadaten korrekt sind und dass IBM Cloud Ihre IdP erreichen kann. Überprüfen Sie die Protokolle von IdP, um Verbindungsprobleme zu beheben SAML. Nehmen Sie die erforderlichen Aktualisierungen an der Konfiguration von IdP oder SP vor.

      Die Protokolle können Details zu Authentifizierungsanfragen, SAML Antworten und Fehlern im Zusammenhang mit Metadatenabweichungen oder Signaturvalidierung enthalten.

    • Wenn die Verbindung erfolgreich war, klicken Sie auf Weiter.

  12. Überprüfen Sie die IdP Behauptungen, die automatisch auf die erforderlichen IAM-Ansprüche abgebildet werden. Sie können eine Standardzuordnung außer Kraft setzen oder manuell einen Attributnamen aus Ihrer IdP eingeben, wenn er nicht automatisch ausgefüllt wird. Weitere Informationen finden Sie unter Mapping IdP assertions to IAM claims.

    1. Klicken Sie auf Zuordnung hinzufügen, wenn Sie ein nicht erforderliches Attribut aus Ihrer IdP umbenennen möchten.

  13. Klicken Sie auf Weiter und dann auf Testen, um die Assertion-Zuordnung zu testen.

  14. Klicken Sie auf Beenden.

Gemeinsame Nutzung IBM Cloud SAML IdP Konfiguration

Nachdem Sie Ihren IBM Cloud SAML Service Provider konfiguriert und mit Ihrem externen IdP, verbunden haben, können Sie die IdP Konfiguration für andere Konten freigeben und Ihren Benutzern die Anmeldung URL zur Verfügung stellen. Benutzer authentifizieren sich über Ihre IdP und werden nach erfolgreicher Anmeldung automatisch zu Ihrem Konto hinzugefügt.

Führen Sie die folgenden Schritte aus, um die Konfiguration von SAML IdP freizugeben:

  1. Gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > Identitätsanbieter und wählen Sie einen vorhandenen IdP aus, der sich im Status Bereit zur Verwendung befindet, oder erstellen Sie einen neuen IdP, wie in Aktivieren und Verbinden Ihres Identitätsanbieters mit dem IBM Cloud SAML SP beschrieben.
  2. Klicken Sie auf die Registerkarte Freigegeben für, um Ihre IdP für andere Konten freizugeben.
  3. Klicken Sie auf Hinzufügen und wählen Sie im Abschnitt Ihre Konten das Konto aus, für das Sie IdP freigeben möchten, und klicken Sie auf Freigeben.
  4. Wählen Sie im Abschnitt Extern entweder Konto oder Unternehmen, geben Sie die Konto-ID ein und klicken Sie auf Hinzufügen. Sie können auch mehrere Konto-IDs hinzufügen.
  5. Klicken Sie auf Freigeben, um die IdP für die ausgewählten Konten freizugeben.
  6. Geben Sie den Benutzern die Anmeldung URL, damit sie sich authentifizieren und auf Ihr Konto zugreifen können.

Verzehr der SAML IdP

Nachdem Sie die SAML IdP für andere Konten freigegeben haben, können Sie die IdP in Ihrem Konto verbrauchen.

  1. Klicken Sie auf Hinzufügen > Für Sie freigegeben, um die IdPs anzuzeigen, die für Sie freigegeben sind.
  2. Wählen Sie die IdP aus, die Sie verwenden möchten, und klicken Sie auf Weiter.
  3. Setzen Sie den Schalter für die Kontoanmeldung aktivieren auf Ja und klicken Sie auf Speichern, damit sich die Benutzer bei dem Konto anmelden können.
  4. Setzen Sie den Schalter Als Standard festlegen auf Ja, um diese IdP als Standard IdP für die Kontoanmeldung festzulegen.
  5. Wählen Sie die Benutzer aus der Benutzerverwaltung aus, je nachdem, wie Sie sie verwalten möchten, wenn sie sich über IdP anmelden.
  6. Klicken Sie auf Speichern.

Nicht konsumieren eines IdP

Wenn Sie ein IdP, nicht mehr benötigen, können Sie es aufbrauchen. Wenn Sie eine IdP aufheben, wird die IdP aus der Liste der IdPs entfernt, die für Ihr Konto verfügbar sind, und alle Benutzer, die mit der IdP verbunden sind, werden aus dem Konto entfernt.

  1. Gehen Sie in der Konsole IBM Cloud auf Verwalten > Zugriff (IAM) > Identitätsanbieter.
  2. Wählen Sie die IdP aus, die den Typ IBM Cloud SAML hat.
  3. Klicken Sie auf das Symbol Aktionen Aktionen Aktionen in der Zeile, die IdP, enthält, und klicken Sie auf Entfernen.

Überprüfung des Status von IdP

  1. Gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > Identitätsanbieter und wählen Sie einen vorhandenen IdP aus, der sich im Status Bereit zur Verwendung befindet, oder erstellen Sie einen neuen IdP, wie in Aktivieren und Verbinden Ihres Identitätsanbieters mit dem IBM Cloud SAML SP beschrieben.
  2. Klicken Sie auf die Registerkarte Details, um den Status von IdP anzuzeigen.
    • Inaktiv: IdPs mit einem inaktiven Tag wird von seinem Besitzer global deaktiviert. Klicken Sie auf Aktionen > Aktivieren, um sie zu aktivieren.
    • Die Anmeldung wird fehlschlagen: Die IdP ist nicht aktiv. Klicken Sie auf Aktionen > Aktivieren und aktivieren Sie die Option Für Kontoanmeldung aktivieren, um sie zu aktivieren.
    • Bereit zur Verwendung: Die Konfiguration von IdP ist abgeschlossen, aber noch nicht für die Kontoanmeldung aktiviert. Aktivieren Sie die Option Für Kontoanmeldung verwenden, um sie zu aktivieren.

Abbildung von IdP Behauptungen auf IAM-Ansprüche

Die manuelle Zuordnung von Identitätsbehauptungen aus Ihrem IdP zu IBM Cloud IAM-Ansprüchen ist optional. IBM Cloud ordnet automatisch eine Liste von anerkannten IdP Behauptungen den erforderlichen IAM-Ansprüchen in Tabelle 1 zu. Wenn die erforderlichen SAML Assertion Mappings nicht gefunden werden und kein Attribute Mapping verfügbar ist, schlägt der SAML Test fehl. Wenn ein erforderlicher Anspruch nicht automatisch einer IdP-Assertion zugeordnet wird, definieren Sie eine Zuordnung oder aktualisieren Sie den Namen der Assertion in Ihrer IdP, damit er dem erwarteten IAM-Anspruch entspricht.

Ihr IdP kann weitere Attribute senden, die IBM Cloud nicht benötigt, wie region oder department. IBM Cloud empfängt diese zusätzlichen Attribute und stellt sie als Benutzeransprüche zur Verfügung, die Sie für die attributbasierte Zugriffskontrolle (ABAC) verwenden können.

Die meisten Benutzer müssen keine Zuordnungen erstellen, es sei denn, es gibt Unstimmigkeiten in Ihrer IdP Konfiguration. Wenn Ihr IdP zum Beispiel user_email statt email verwendet.

Vervollständigen Sie die Attributzuordnung nur, wenn Ihre IdP nicht dem folgenden SAML Assertion-Schema entspricht:

Liste der erforderlichen IAM-Ansprüche und der dazugehörigen IdP Behauptungen, die IBM Cloud anerkennt.
Attribut Quelle Beschreibung
E-Mail (erforderlich) Abgebildet von SAML Behauptung "E-Mail". Die E-Mail-Adresse des Benutzers. Dies ist ein Pflichtfeld für die Authentifizierung.
Benutzername (erforderlich) Abgebildet von SAML assertion "preferred_username", "username", "user_name", oder "userName". Fällt auf "Thema" zurück, wenn keine vorhanden sind. Die Kennung, die in der Befehlszeilenschnittstelle, den APIs oder anderen Plattformdiensten angezeigt wird. Oft eine E-Mail, kann aber auch ein anderer eindeutiger Wert sein.
vorname (erforderlich) Abgebildet von SAML assertion "given_name", "givenname", "givenName", "first_name", "firstname", oder "firstName". Der Vorname des Benutzers, der sich anmeldet.
nachname (erforderlich) Abgebildet von SAML assertion "family_name", "familyname", "familyName", "last_name", "lastname", oder "lastName". Der Nachname des Benutzers, der sich anmeldet.
Zusätzliche Attribute (optional) Benutzerdefinierte SAML Behauptungen, die von der IdP bereitgestellt werden. Diese Attribute können in dynamischen Regeln für Zugriffsgruppen und Vertrauensbeziehungen für föderierte Benutzer in vertrauenswürdigen Profilen verwendet werden.

Föderation mit App ID

Wenn Sie eine externe IdP-Referenz über App ID verwenden, können jedem Konto bis zu fünf IdP-Referenzen über die Seite Identitätsanbieter im Abschnitt Zugriff (IAM) der Konsole hinzugefügt werden. Zum Konfigurieren der IdP-Referenz wählen Sie aus, welche App ID-Instanz mit IAM integriert werden soll. Dann wird die IdP Referenz als zufällige Realm-ID angegeben, die das eindeutige Präfix für Benutzer dieser App ID Service-Instanz ist.

Wenn Sie die Integration zwischen Ihrer App ID Instanz, die bereits mit Ihrem IdP, konfiguriert ist, einrichten, können Sie weiterhin alle Benutzer extern in Ihrem IdP verwalten. Es vereinfacht auch den Anmeldeprozess für Ihr Cloud-Konto für Benutzer in Ihrem Unternehmen. Nach Abschluss der Integration müssen Sie den Benutzern eine angepasste URL bereitstellen, mit der sie sich jedes Mal anmelden können. Sie brauchen niemanden zu Ihrem Konto einzuladen. Wenn sie als Benutzer in Ihrem angeschlossenen IdP's Benutzer-Repository existieren, können sie sich mit ihren Anmeldedaten über die benutzerdefinierte URL anmelden.

Überprüfen Sie die folgenden Anforderungen, um loszulegen:

  • Erstellen Sie eine Instanz von App ID aus dem IBM Cloud-Katalog. Weitere Informationen enthält das Lernprogramm 'Einführung'.
  • Konfigurieren Sie die App ID-Instanz. weitere Informationen zur Vorgehensweise in Ihrem Anwendungsfall finden Sie in der App ID-Dokumentation zu Authentifizierung verwalten.
  • Vergewissern Sie sich, dass Sie über die erforderlichen Zugriffsrechte verfügen, um IdP Referenzen anzuzeigen und zu verwalten, falls Sie nicht der Kontoinhaber sind. Sie müssen auf der Instanz App ID die Rolle Operator oder höher und auf der Instanz IAM Identity Service.

Konfigurieren Sie Ihre App ID-Instanz für die IAM-Integration

Lesen Sie die folgenden Anforderungen darüber, wie Ihre App ID-Instanz konfiguriert sein muss, damit sie ordnungsgemäß als IAM-Identitätsanbieter ( IdP ) für Ihr IBM Cloud-Konto funktioniert.

Falls Sie beabsichtigen, die App ID-Instanz für die Integration mit dem IAM-Identitätsprovider zu verwenden, kann sich jeder Benutzer beim Konto anmelden, der sich bei dieser App ID-Instanz authentifizieren kann. Beachten Sie daher die folgenden Richtlinien, wenn Sie Ihre Instanz konfigurieren:

Inaktivieren Sie die folgenden Authentifizierungstypen:

  • Facebook
  • Google
  • IBMid
  • Anonym

Wenn Sie Cloud Directory als Authentifizierungsmethode verwenden, deaktivieren Sie die Option, dass sich Benutzer über die App anmelden können, und fügen Sie stattdessen nur bekannte Benutzer einzeln zu Ihrem Cloud Directory hinzu.

IAM-spezifische Attribute in App ID-Token festlegen

Damit IAM korrekt mit Ihrem externen IdP, funktioniert, müssen Sie sicherstellen, dass die Instanz App ID alle erforderlichen Attribute bereitstellt. Die erforderlichen Attribute werden in der folgenden Tabelle aufgeführt:

Erforderliche Attribute für App ID tokens
Attribut Anforderung für App ID-ID-Token Quelle Beschreibung
identifier (erforderlich) ID App ID (generiert) Eine eindeutige Kennung, die einen Benutzer angibt. Sie kann während der Lebensdauer dieses Benutzers nicht geändert werden. App ID erstellt diese ID.
E-Mail (erforderlich) E-Mail Wird von SAML-Zusicherung 'email' zugeordnet, die für Cloud Directory und SAML-Konfigurationen obligatorisch ist. Die E-Mail-Adresse des Benutzers.
username (empfohlen) preferred_username, falls vorhanden; andernfalls 'sub' Wird von SAML-Zusicherung 'preferred_username', 'username', 'user_name' oder 'userName' zugeordnet, falls verfügbar. Andernfalls wird die von App ID generierte Anforderung 'sub' verwendet. Wenn Sie mit der Befehlszeilenschnittstelle, APIs oder IBM Cloud Kubernetes Service arbeiten, wird der Benutzername angezeigt. Ein Benutzername ist oft eine E-Mail-Adresse, kann aber auch ein anderer Wert sein. Wenn der Benutzername von App ID nicht angegeben wird, wird von IAM stattdessen die Kennung verwendet.
firstname (empfohlen) given_name, falls verfügbar; andernfalls standardmäßig 'notset' Wird von SAML-Zusicherung 'given_name', 'givenname', 'givenName', 'first_name', 'firstname' oder 'firstName' zugeordnet, falls verfügbar; andernfalls wird von IAM die Konstante 'notset' verwendet. Der Vorname des Benutzers, der sich anmeldet.
lastname (empfohlen) family_name, falls verfügbar; andernfalls standardmäßig 'notset' Wird von SAML-Zusicherung 'family_name', 'familyname', 'familyName', 'last_name', 'lastname' oder 'lastName' zugeordnet, falls verfügbar; andernfalls wird von IAM die Konstante 'notset' verwendet. Der Nachname des Benutzers, der sich anmeldet.
name (optional) name, falls vorhanden; wird andernfalls aus dem Vornamen, einem Leerzeichen und dem Nachnamen erstellt. Kein automatisches Mapping von SAML Vollständiger Name, einschließlich der Initiale des zweiten Vornamens, des Titels oder eines anderen Bestandteils, der nicht durch Vornamen und Nachnamen abgedeckt wird.

Wenn ein Benutzer mithilfe der App ID-Serviceinstanz erfolgreich am IBM Cloud-Konto authentifiziert wird, wird der Benutzer automatisch zum Konto hinzugefügt. Hinzugefügten Benutzern werden standardmäßig keine Zugriffsrichtlinien zugeordnet. Mithilfe von Zugriffsgruppen und dynamischen Regeln können Sie jedoch automatisch zugeordnete Zugriffsrichtlinien konfigurieren.

Aktivieren und Verbinden Ihres Identitätsanbieters mit App ID

Wenn Sie keine IAM IdP Referenzen in Ihrem Konto haben, müssen Sie zuerst die Login-Einstellung für Ihr Konto aktivieren.

  1. Aktivieren Sie die Anmeldeeinstellungen für Ihr Konto.

    1. Rufen Sie in der IBM Cloud-Konsole Verwalten > Zugriff (IAM) > Identitätsprovider auf und klicken Sie auf Aktivieren.
    2. Geben Sie einen Aliasnamen für die Standardkonto-URL ein, die Sie Benutzern zur Verfügung stellen, um sich am Konto anzumelden.

    Da Sie die URL für externe Benutzer freigeben, sollten Sie darauf achten, dass der Alias eindeutig und einfach ist. Ein gängiges Format kann die Verwendung des Firmennamens oder eine Variation des Namens sein.

  2. Klicken Sie auf Hinzufügen, um Ihre IdP Referenz hinzuzufügen.

    1. Wählen Sie App ID.

  3. Geben Sie einen Namen für die IdP-Referenz ein und wählen Sie die App ID-Instanz aus, zu der Sie eine Verbindung herstellen möchten.

  4. Wählen Sie aus, wie Sie die Benutzer einbinden möchten:

    • Statisch: (Standard) Fügen Sie jeden Benutzer zu Ihrem Konto hinzu, wenn er sich zum ersten Mal anmeldet.
    • Dynamisch: Fügen Sie Benutzer nur dann zu Ihrem Konto hinzu, wenn sie sich anmelden und kein vertrauenswürdiges Profil auswählen.
    • Niemals: Benutzer werden nicht zu Ihrem Konto hinzugefügt, können aber über vertrauenswürdige Profile auf Ihr Konto zugreifen. Weitere Informationen über vertrauenswürdige Profile finden Sie unter Erstellen vertrauenswürdiger Profile.

    Angenommen, Sie haben Onboarding auf Statisch eingestellt und der Benutzer wählt bei der ersten Anmeldung ein vertrauenswürdiges Profil aus. In diesem Fall wird der Benutzer trotzdem zum Konto hinzugefügt.

  5. Wählen Sie dann die folgenden Einstellungen (optional):

    • Für Kontoanmeldung aktivieren?: Aktivieren Sie Ihre IdP-Referenzen, die Benutzer für die Anmeldung bei Ihrem Konto verwenden sollen. Diese Option wird standardmäßig festgelegt, wenn Sie zum ersten Mal eine IdP-Referenz erstellen.
    • Als Standardwert festlegen?: Benutzer können die Standardreferenz IdP URL verwenden, die Sie erstellt haben, als Sie diese Funktion aktiviert haben, um sich bei Ihrem Konto anzumelden. Es ist nur eine Standard-IdP-Referenz zulässig. Für alle weiteren von Ihnen erstellten IdP-Referenzen müssen die Benutzer die Realm-IDs zum Anmelden verwenden.

  6. Klicken Sie auf Erstellen.

Die Referenz für den Identitätsprovider (IdP) ist jetzt in der Liste der Identitätsprovider verfügbar und die Realm-ID wird automatisch als Wert generiert, der in IBM Cloud für den IAM-Identitätsprovider verwendet wird.

Föderation mit IBMid

Eine häufig verwendete Authentifizierungsmethode in IBM Cloud, die Sie für alle IBM Produkte freigibt und für die keine Nutzungsgebühren anfallen, ist IBMid federation, indem Sie die Domain Ihres Unternehmens registrieren. Nach der Registrierung der Unternehmensdomäne bei IBM können sich die Benutzer unter Verwendung der bestehenden Benutzerberechtigungsnachweise des Unternehmens bei IBM Produkten und Services anmelden. Die IdP Ihres Unternehmens übernimmt die Authentifizierung durch Single Sign-On (SSO). Informationen darüber, wie Sie Ihr Unternehmen für eine föderierte ID registrieren, finden Sie im IBMid Enterprise Federation Adoption Guide. Ein IBM Sponsor, z. B. ein Produktbefürworter oder Kundenbefürworter, ist erforderlich, wenn Sie die Registrierung von Verbund-IDs beantragen.

Um mit der Einrichtung von IBMid für Enterprise Federation zu beginnen, öffnen Sie einen Fall unter ibm.com/mysupport und wählen Sie IBMid Enterprise Federation als Produkt.

Mit Berechtigungsnachweisen des externen Identitätsproviders anmelden

Sobald die App ID-Instanz mit dem IdP verbunden und die App ID-Instanz in IAM integriert ist, können sich die Benutzer am Konto anmelden. Falls die IdP-Referenz als Standardeinstellung festgelegt wird, können Sie die Standard-IdP-URL für Ihr Konto gemeinsam nutzen.

  • Sie können nur eine als Standard festlegen, aber Sie können bis zu fünf in Ihrem Konto einrichten.
  • Kopieren Sie den IdP URL link aus der Tabelle für die Zeile des Verweises IdP, die Sie den Benutzern zur Anmeldung geben müssen: URL.

Verwendung von IdP Daten zur Erstellung dynamischer Regeln in Zugangsgruppen

Zusätzlich zu den erforderlichen Attributen können Sie jede Art von Information mit Ihrer SAML Assertion übergeben. Diese Attribute können Sie in dynamischen Regeln in Zugriffsgruppen verwenden.

Zum erfolgreichen Erstellen einer dynamischen Regel sind die folgenden Informationen erforderlich:

Identitätsprovider
Für den Anbieter IBM Cloud SAML verwenden Sie die Entitäts-ID des Dienstanbieters, der in Ihrem IdP konfiguriert ist. Für App ID verwenden Sie das Präfix appid:// und die Realm-ID aus dem IAM IdP. Beispiel: appid://A1B2C3D4, wenn die Realm-ID des Benutzers A1B2C3D4 lautet.
Benutzer hinzufügen, wenn
Verwenden Sie den Namen der zusätzlichen Behauptung SAML. Diese Eigenschaft wird unverändert übergeben.

Sie können auch benutzerdefinierte Attribute in dynamischen Regeln verwenden. Wenn Sie jedoch über dieselbe Eigenschaft als angepasstes Attribut und als SAML-Zusicherung verfügen, wird das angepasste Attribut aus der SAML-Zusicherung verwendet.

Wenn Sie mit einem externen IdP, arbeiten, verbinden Sie sich nur mit einem externen IdP, und lassen Sie die Benutzer automatisch über diesen IdP einsteigen.

Verwenden von IdP-Daten zum Erstellen von vertrauenswürdigen Profilen

Nachdem Sie Ihr IdP, aktiviert und verbunden haben, können Sie mit der Erstellung vertrauenswürdiger Profile beginnen. Um Vertrauen mit eingebundenen Benutzern aufzubauen, können Sie die persönlichen Daten von Ihrem IdP verwenden, um nach Attributnamen und -werten zu suchen, die in Ihrer Organisation vorhanden sind.

Wenn die Benutzer, für die Sie ein vertrauenswürdiges Profil erstellen, IBM Cloud App ID verwenden, sollten Sie das vertrauenswürdige Profil als App ID-Benutzer erstellen. Entsprechendes gilt für die IBMid. Auf diese Weise können Sie anhand Ihrer eigenen SAML-Attribute eine Vorstellung davon bekommen, wie die Bedingungen für das vertrauenswürdige Profil strukturiert werden sollen. Andere Benutzer mit demselben IdP können andere SAML Attribute haben und Sie können Ihre eigenen nur als Hinweis verwenden. Wenn Sie Attribute in einer Anforderung verwenden möchten, die sich von Ihren eigenen unterscheiden, geben Sie sie manuell ein.

Die Bedingungen, die Sie erstellen, filtern die Anwendung des vertrauenswürdigen Profils für Verbundbenutzer aus oder erlauben sie. Der Zugriff hängt davon ab, welche Attribute den Verbundbenutzern in Ihrem Unternehmens-Benutzerverzeichnis zugewiesen sind. Wenn Sie ein vertrauenswürdiges Profil erstellen, können Sie die IdP-Daten anzeigen, um Ihre eigenen Benutzeransprüche aus dem Firmenverzeichnis Ihrer Organisation zu sehen.

Angenommen, ein Attribut mit der Bezeichnung groups identifiziert Abteilungen, Teams und detailliertere interne Organisationen innerhalb Ihres Unternehmens. Wenn Entwickler in den USA, die zum Finanzteam gehören, für ein Projekt ebenso viel Zugriff benötigen, könnten Sie ein vertrauenswürdiges Profil mit den folgenden Bedingungen erstellen:

  • Benutzer ermöglichen, wenn groups gleich finance-dev ist
  • Benutzer ermöglichen, wenn country gleich us ist

Um sicherzustellen, dass Ihre Bedingungen nur den eingebundenen Benutzern den Zugriff ermöglichen, kontaktieren Sie Ihren Architekten des Firmenverzeichnisses, um weitere Informationen über verfügbare Attribute zu erhalten.

Weitere Informationen zu den Feldern, die zum Erstellen von Bedingungen verwendet werden, finden Sie unter IAM-Bedingungseigenschaften.

Schaffen Sie enge Bedingungen. Sie teilen eine IdP URL mit allen Mitarbeitern Ihres Unternehmens. Wenn eine Anspruchsregel zu offen ist, könnten Sie es Benutzern ermöglichen, unbeabsichtigt ein vertrauenswürdiges Profil mit Zugriff auf Ihr Konto anzuwenden.