Abilitazione dell'autenticazione da un provider di identità esterno

È possibile integrarsi con il proprio provider di identità esterno ( IdP ) per autenticare in modo sicuro gli utenti esterni al proprio account IBM Cloud®. Utilizzando il vostro IdP, potete fornire agli utenti della vostra azienda un modo per utilizzare il single sign-on (SSO). È possibile collegare il proprio account cloud a un IdP esterno utilizzando il IBM Cloud SAML service provider (SP), App ID, o federando gli utenti a tutti i prodotti IBM con IBMid.

Per ulteriori informazioni sulla federazione con App ID e IBMid, vedere la Guida alla federazione di IBM Cloud SAML.

Evitare di inviare inviti a IBM Cloud per gli utenti federati, perché gli inviti manuali utilizzano solo IBMid. Mescolare gli utenti di IBMid con quelli che vengono automaticamente inseriti dal sito esterno IdP può causare confusione.

  • IBMid gli utenti accedono attraverso il sito web IBM Cloud.
  • Gli utenti esterni di IdP devono accedere con uno speciale URL.

Questa mancata corrispondenza può portare a nomi utente duplicati, che potrebbero causare problemi con Kubernetes Service. Per un'esperienza più fluida, utilizzate solo il vostro IdP esterno per l'onboarding degli utenti.

Il sito IBM Cloud Kubernetes Service fino alla release 1.18 si basa su nomi utente unici in un account. Per funzionare correttamente, è necessario assicurarsi che tutti i nomi utente siano unici in tutti i siti IdPs. Assicuratevi che i nomi utente inseriti nell'account da IBMid e gli utenti inseriti nell'account tramite IAM IdP non si sovrappongano. Altrimenti, le regole RBAC di IBM Cloud Kubernetes Service potrebbero confondersi e assegnare autorizzazioni errate.

Federazione con il provider di servizi (SP) IBM Cloud SAML

La connessione del sito IdP esterno all'account IBM Cloud semplifica il processo di accesso all'account cloud per gli utenti dell'azienda. Una volta completata l'integrazione, è necessario fornire agli utenti un URL personalizzato da utilizzare per accedere ogni volta. Non è necessario invitare nessuno al proprio account. Se esistono come utenti nel repository di utenti collegato a IdP's, possono accedere con le loro credenziali attraverso il sito personalizzato URL.

Quando un utente si autentica con successo, viene automaticamente aggiunto all'account. Agli utenti aggiunti non viene assegnato alcun criterio di accesso per impostazione predefinita. Tuttavia, utilizzando regole dinamiche per i gruppi di accesso o i profili affidabili, è possibile impostare criteri di accesso che vengono assegnati automaticamente in base alle richieste degli utenti.

Abilitazione e connessione del provider di identità con IBM Cloud SAML SP

Se nel proprio account non sono presenti riferimenti a IAM IdP, è necessario prima abilitare l'impostazione di login per il proprio account.

  1. Attivare le impostazioni di login per il proprio account.

    1. Andare su Gestione > Accesso (IAM) > Identity provider nella console IBM Cloud e fare clic su Abilita.
    2. Inserite un alias per l'account predefinito URL, che fornirete agli utenti per accedere al vostro account.

    Poiché il sito URL viene condiviso con utenti esterni, assicurarsi che l'alias sia unico e semplice. Un formato comune potrebbe essere quello di utilizzare il nome dell'azienda o una sua variante.

  2. Fare clic su Aggiungi per aggiungere il riferimento IdP.

    1. Selezionare il IBM Cloud SAML SP.

  3. Assegnate un nome alla vostra configurazione SP per distinguerla da altre configurazioni SP che potreste creare per connettervi ad altri IdPs.

  4. Esaminare le impostazioni avanzate e, se necessario, modificare le selezioni predefinite.

    La maggior parte di IdPs supporta asserzioni firmate, il che è sufficiente per l'autenticazione. La firma completa delle risposte è spesso superflua se le asserzioni firmate sono già abilitate, perché i dati critici, come l'identità dell'utente, sono ancora protetti. Tuttavia, alcune organizzazioni richiedono la firma completa della risposta per motivi di conformità o di sicurezza, per garantire che ogni parte del messaggio sia convalidata.

  5. Scaricare la configurazione del SP. Fai clic su Next.

  6. Accedere al sito IdP e creare una nuova applicazione SAML 2.0.

  7. Caricare la configurazione del SP IBM Cloud SAML e scaricare i metadati IdP.

  8. Caricare i metadati di IdP su IBM Cloud.

  9. Rivedere le impostazioni avanzate. Quando si richiedono richieste firmate SAML da IBM Cloud, IBM Cloud firma le richieste di autenticazione prima di inviarle all'utente IdP. Fai clic su Next.

  10. Fare clic su Verifica per testare la connessione SAML tra l'SP IBM Cloud e il vostro IdP.

    1. Immettere le credenziali di IdP, come nome utente e password.

  11. Visualizzare i risultati della connessione.

    • Se la connessione è fallita, assicurarsi che i metadati di IdP siano corretti e che IBM Cloud possa raggiungere IdP. Controllare i registri di IdP per risolvere i problemi di connessione di SAML. Eseguire gli aggiornamenti necessari alla configurazione di IdP o SP.

      I registri possono includere dettagli sulle richieste di autenticazione, sulle risposte di SAML e sugli errori relativi alle corrispondenze dei metadati o alla convalida delle firme.

    • Se la connessione è riuscita, fare clic su Avanti.

  12. Esaminare le asserzioni di IdP che vengono mappate automaticamente alle asserzioni IAM richieste. È possibile sovrascrivere una mappatura predefinita o inserire manualmente il nome di un attributo dal sito IdP, se non viene compilato automaticamente. Per ulteriori informazioni, vedere Mappatura delle asserzioni di IdP con le affermazioni di IAM.

    1. Fare clic su Aggiungi mappatura se si desidera rinominare un attributo non richiesto dal sito IdP.

  13. Fare clic su Avanti e poi su Test per verificare la mappatura delle asserzioni.

  14. Fai clic su Finish.

Condivisione IBM Cloud SAML IdP configurazione

Dopo aver configurato il provider di servizi IBM Cloud SAML e averlo collegato al provider esterno IdP, è possibile condividere la configurazione IdP con altri account e fornire il login URL agli utenti. Gli utenti si autenticano attraverso il vostro IdP e vengono automaticamente aggiunti al vostro account una volta effettuato il login.

Completare i seguenti passaggi per condividere la configurazione di SAML IdP:

  1. Andare in Gestione > Accesso (IAM) > Provider di identità nella console IBM Cloud e selezionare un IdP esistente che sia nello stato Pronto all'uso, oppure creare un nuovo IdP come descritto in Abilitazione e connessione del provider di identità con l'SP IBM Cloud SAML.
  2. Fare clic sulla scheda Condivisi con per condividere il proprio IdP con altri account.
  3. Fare clic su Aggiungi e, nella sezione I tuoi account, selezionare l'account con cui si desidera condividere il sito IdP e fare clic su Condividi.
  4. Nella sezione Esterno, selezionare Account o Enterprise, inserire l'ID dell'account e fare clic su Aggiungi. È inoltre possibile aggiungere più ID account.
  5. Fare clic su Condividi per condividere il sito IdP con gli account selezionati.
  6. Fornite agli utenti il login URL in modo che possano autenticarsi e accedere al vostro account.

Consumare il sito SAML IdP

Dopo aver condiviso SAML IdP con altri account, è possibile consumare IdP nel proprio account.

  1. Fare clic su Aggiungi > Condiviso con voi per visualizzare il sito IdPs condiviso con voi.
  2. Selezionare il sito IdP che si desidera utilizzare e fare clic su Avanti.
  3. Impostare la levetta Abilita accesso account su Sì e fare clic su Salva per consentire agli utenti di accedere all'account.
  4. Impostare la levetta Imposta come predefinito su Sì per impostare questo IdP come IdP predefinito per il login dell'account.
  5. Selezionate gli utenti da Gestione utenti in base a come volete gestirli quando si collegano al sito IdP.
  6. Fare clic su Salva.

Non consumare un IdP

Se non avete più bisogno di usare un IdP,, potete non consumarlo. L'eliminazione di un IdP rimuove il IdP dall'elenco dei IdPs disponibili per l'account e rimuove tutti gli utenti associati al IdP dall'account.

  1. Andare su Gestione > Accesso (IAM) > Identity provider nella console IBM Cloud.
  2. Selezionare il sito IdP che ha il tipo IBM Cloud SAML.
  3. Fare clic sull'icona Azioni Icona Azioni Azioni nella riga che contiene IdP, e fare clic su Rimuovi.

Revisione degli stati di IdP

  1. Andare in Gestione > Accesso (IAM) > Provider di identità nella console IBM Cloud e selezionare un IdP esistente che sia nello stato Pronto all'uso, oppure creare un nuovo IdP come descritto in Abilitazione e connessione del provider di identità con l'SP IBM Cloud SAML.
  2. Fare clic sulla scheda Dettagli per visualizzare lo stato di IdP.
    • Inattivo: IdPs con un tag inattivo viene disabilitato globalmente dal suo proprietario. Fare clic su Azioni > Abilita per attivarlo.
    • L 'accesso non riesce: Il sito IdP non è attivo. Fare clic su Azioni > Abilita e attivare la levetta Abilita per l'accesso all'account per abilitarlo.
    • Pronto per l'uso: La configurazione di IdP è completa ma non è ancora abilitata al login dell'account. Attivare la levetta Utilizza per l'accesso all'account per abilitarlo.

Mappare le asserzioni di IdP con le asserzioni IAM

La mappatura manuale delle asserzioni sull'identità da IdP alle asserzioni IAM di IBM Cloud è facoltativa. IBM Cloud mappa automaticamente un elenco di asserzioni riconosciute di IdP alle asserzioni IAM richieste nella Tabella 1. Se le mappature delle asserzioni SAML richieste non vengono trovate e non è disponibile alcuna mappatura degli attributi, il test SAML fallisce. Se una richiesta non corrisponde automaticamente a un'asserzione di IdP, definire una mappatura o aggiornare il nome dell'asserzione in IdP in modo che corrisponda alla richiesta IAM prevista.

IdP potrebbe inviare altri attributi che IBM Cloud non richiede, come region o department. IBM Cloud riceve questi attributi aggiuntivi e li rende disponibili come richieste dell'utente che possono essere utilizzate per il controllo dell'accesso basato sugli attributi (ABAC).

La maggior parte degli utenti non ha bisogno di creare mappature, a meno che non vi siano incongruenze nella configurazione di IdP. Ad esempio, se il vostro IdP usa user_email invece di email.

Completare la mappatura degli attributi solo se il proprio IdP non corrisponde al seguente schema di asserzione SAML:

Elenco delle affermazioni IAM richieste e delle asserzioni IdP corrispondenti che IBM Cloud riconosce.
Attributo Origine Descrizione
e-mail (obbligatorio) Mappato da SAML asserzione "email". L'indirizzo email dell'utente. È un campo obbligatorio per l'autenticazione.
Nome utente (obbligatorio) Mappato da SAML asserzione "preferred_username", "username", "user_name", o "userName". Torna a "soggetto" se non ce ne sono di disponibili. L'identificatore che viene visualizzato nella CLI, nelle API o in altri servizi della piattaforma. Spesso è un'e-mail, ma può essere un altro valore univoco.
nome (obbligatorio) Mappato da SAML asserzione "given_name", "givenname", "givenName", "first_name", "firstname", o "firstName". Il nome dell'utente che si collega.
cognome (obbligatorio) Mappato da SAML asserzione "family_name", "familyname", "familyName", "last_name", "lastname", o "lastName". Il cognome dell'utente che effettua l'accesso.
Attributi extra (facoltativi) Asserzioni personalizzate di SAML fornite da IdP. Questi attributi possono essere utilizzati nelle regole dinamiche per i gruppi di accesso e le relazioni di fiducia per gli utenti federati nei profili di fiducia.

Federare con App ID

Se si utilizza un riferimento esterno a IdP tramite App ID, ogni account può avere fino a cinque riferimenti a IdP aggiunti tramite la pagina Identity providers nella sezione Access (IAM) della console. Si imposta il riferimento a IdP selezionando l'istanza di App ID da integrare con IAM. Poi, il riferimento a IdP viene dato come un ID di regno casuale che è il prefisso unico per gli utenti di quell'istanza del servizio App ID.

Impostando l'integrazione tra l'istanza App ID, che è già configurata con il vostro IdP, potete continuare a gestire tutti gli utenti esternamente nel vostro IdP. Inoltre, semplifica il processo di accesso al vostro account cloud per gli utenti della vostra azienda. Una volta completata l'integrazione, è necessario fornire agli utenti un URL personalizzato da utilizzare per accedere ogni volta. Non è necessario invitare nessuno al proprio account. Se esistono come utenti nel repository di utenti collegato a IdP's, possono accedere con le loro credenziali attraverso il sito personalizzato URL.

Per iniziare, controllate i seguenti requisiti:

  • Creare un'istanza di App ID dal catalogo IBM Cloud. Per ulteriori informazioni, vedi l'Esercitazione introduttiva.
  • Configurare l'istanza App ID. Per ulteriori informazioni su come fare a seconda del caso d'uso, consultare la documentazione di App ID sulla gestione dell'autenticazione.
  • Assicurarsi di avere l'accesso necessario per visualizzare e gestire i riferimenti di IdP, se non si è il proprietario dell'account. Essere assegnati al ruolo di operatore o superiore sull'istanza App ID e al ruolo di operatore o amministrazione sull'istanza IAM Identity Service.

Configurazione dell'istanza App ID per l'integrazione IAM

Esaminare i seguenti requisiti su come l'istanza App ID deve essere configurata per funzionare correttamente come provider di identità IAM ( IdP ) per l'account IBM Cloud.

Se si intende utilizzare l'istanza App ID per l'integrazione IAM IdP, qualsiasi utente può accedere al proprio account e autenticarsi con l'istanza App ID. Pertanto, quando si configura l'istanza, è necessario tenere conto delle seguenti linee guida:

Disattivare i seguenti tipi di autenticazione:

  • Facebook
  • Google
  • IBMid
  • Anonimo

Se si utilizza Cloud Directory come metodo di autenticazione, disattivare l'opzione che consente agli utenti di registrarsi attraverso l'app e aggiungere invece solo gli utenti conosciuti individualmente alla Cloud Directory.

Impostazione di attributi specifici IAM nei token di App ID

Affinché IAM funzioni correttamente con il vostro IdP, esterno, dovete assicurarvi che l'istanza di App ID fornisca tutti gli attributi richiesti. Per gli attributi richiesti, vedere la tabella seguente:

Attributi richiesti per i token di App ID
Attributo App ID Richiesta del gettone ID Origine Descrizione
identificatore (obbligatorio) ID App ID generato Un identificatore unico che identifica un utente. Non può essere modificato durante la vita dell'utente. App ID crea questo identificatore.
e-mail (obbligatorio) email Mappato da SAML asserzione "email", che è obbligatoria per le configurazioni di Cloud Directory e SAML. L'indirizzo email dell'utente.
nome utente (consigliato) nome_utente preferito se presente, altrimenti sub Mappato da SAML asserzione "preferred_username", "username", "user_name" o "userName" se disponibile. Altrimenti, viene utilizzata la rivendicazione "sub" generata da App ID Quando si lavora con la CLI, le API o il sito IBM Cloud Kubernetes Service, viene visualizzato il nome utente. Il nome utente è spesso un indirizzo e-mail, ma può anche essere un valore diverso. Se il nome utente non è fornito da App ID, IAM utilizza invece l'identificatore.
nome (consigliato) nome_dato se disponibile, altrimenti "notset" come predefinito Mappato dall'asserzione SAML "given_name", "givenname", "givenName", "first_name", "firstname" o "firstName" se disponibile, altrimenti IAM utilizza la costante "notset" Il nome dell'utente che si collega.
cognome (consigliato) nome_famiglia se disponibile, altrimenti "notset" come impostazione predefinita Mappato dall'asserzione SAML "family_name", "familyname", "familyName", "last_name", "lastname" o "lastName" se disponibile, altrimenti IAM utilizza la costante "notset" Il cognome dell'utente che effettua l'accesso.
Nome (facoltativo) nome se presente, altrimenti costruito dal nome, uno spazio e il cognome Nessuna mappatura automatica da SAML Nome e cognome, compresa l'iniziale di mezzo, il titolo o tutto ciò che non è coperto da nome e cognome

Quando un utente si autentica con successo utilizzando l'istanza del servizio App ID nell'account IBM Cloud, l'utente viene automaticamente aggiunto all'account. Agli utenti aggiunti non viene assegnato alcun criterio di accesso per impostazione predefinita. Tuttavia, utilizzando gruppi di accesso e regole dinamiche, è possibile impostare criteri di accesso assegnati automaticamente.

Abilitazione e connessione del provider di identità con App ID

Se non ci sono riferimenti IAM IdP nel proprio account, è necessario abilitare prima l'impostazione di login per il proprio account.

  1. Attivare le impostazioni di login per il proprio account.

    1. Andare su Gestione > Accesso (IAM) > Identity provider nella console IBM Cloud e fare clic su Abilita.
    2. Inserite un alias per l'account predefinito URL, che fornirete agli utenti per accedere al vostro account.

    Poiché il sito URL viene condiviso con utenti esterni, assicurarsi che l'alias sia unico e semplice. Un formato comune potrebbe essere quello di utilizzare il nome dell'azienda o una sua variante.

  2. Fare clic su Aggiungi per aggiungere il riferimento IdP.

    1. Selezionare App ID.

  3. Immettere un nome per il riferimento IdP e selezionare l'istanza App ID che si desidera collegare.

  4. Selezionare la modalità di inserimento degli utenti:

    • Statico: (predefinito) Aggiunge ogni utente all'account al primo accesso.
    • Dinamico: Aggiungete gli utenti al vostro account solo se si collegano e non selezionano un profilo attendibile.
    • Mai: Gli utenti non vengono aggiunti al vostro account, ma possono accedere al vostro account utilizzando i profili di fiducia. Per ulteriori informazioni sui profili di fiducia, vedere Creazione di profili di fiducia.

    Supponiamo che l'onboarding sia impostato su Statico e che l'utente selezioni un profilo affidabile al primo accesso. In questo caso, l'utente viene comunque aggiunto all'account.

  5. Quindi, selezionare le seguenti impostazioni (facoltative):

    • Abilitare l'accesso all'account? Abilitare i riferimenti di IdP da utilizzare per l'accesso degli utenti al proprio account. Questa opzione è impostata di default quando si crea per la prima volta un riferimento a IdP.
    • Impostare come predefinito? Gli utenti possono utilizzare il riferimento predefinito IdP URL creato quando si è abilitata questa funzione per accedere al proprio account. È possibile avere un solo riferimento predefinito a IdP. Per tutti gli altri riferimenti IdP creati, gli utenti devono utilizzare gli ID del reame per accedere.

  6. Fai clic su Crea.

Il riferimento IdP è ora disponibile nell'elenco degli Identity provider e l'ID del regno viene generato automaticamente come valore che rappresenta il vostro IAM IdP in IBM Cloud.

Federare con IBMid

Un metodo di autenticazione comunemente utilizzato in IBM Cloud, che vi federa per tutti i prodotti IBM e non comporta costi di utilizzo, è la federazione IBMid tramite la registrazione del dominio aziendale. La registrazione del dominio aziendale su IBM consente agli utenti di accedere ai prodotti e ai servizi di IBM utilizzando le credenziali utente aziendali esistenti. Il sito IdP gestisce l'autenticazione tramite single sign-on (SSO). Per informazioni su come registrare la propria azienda per un ID federato, consultare la Guida all'adozione di IBMid Enterprise Federation. Quando si richiede la registrazione di ID federati, è necessario uno sponsor IBM, ad esempio un sostenitore del prodotto o un sostenitore del cliente.

Per iniziare a configurare IBMid per la federazione aziendale, aprite un caso su ibm.com/mysupport e selezionate IBMid Enterprise Federation come prodotto.

Accesso con le credenziali di un provider di identità esterno

Dopo che l'istanza App ID è stata collegata all'istanza IdP, e l'istanza App ID è stata integrata con IAM, gli utenti possono iniziare ad accedere al vostro account. Se il riferimento IdP è impostato come predefinito, è possibile condividere il riferimento Default IdP URL per il proprio account.

  • È possibile impostarne solo uno come predefinito, ma se ne possono impostare fino a cinque nel proprio account.
  • Copiare il IdP URL dalla tabella per la riga del riferimento IdP che serve a URL per dare agli utenti l'accesso.

Utilizzo dei dati di IdP per costruire regole dinamiche nei gruppi di accesso

Oltre agli attributi richiesti, è possibile passare qualsiasi tipo di informazione con l'asserzione SAML. Questi attributi possono essere utilizzati nelle regole dinamiche dei gruppi di accesso.

Per creare con successo una regola dinamica, sono necessarie le seguenti informazioni:

Provider di identità
Per il provider IBM Cloud SAML, utilizzare l'Entity ID del provider di servizi configurato nel proprio IdP. Per App ID, utilizzare il prefisso appid:// e l'ID realm dello IAM IdP. Ad esempio, appid://A1B2C3D4 se l'ID del regno dell'utente è A1B2C3D4.
Aggiungi utente quando
Utilizzare il nome dell'asserzione aggiuntiva SAML. Questa proprietà viene trasmessa invariata.

È possibile utilizzare attributi personalizzati anche nelle regole dinamiche. Tuttavia, se si ha la stessa proprietà come attributo personalizzato e come asserzione SAML, viene utilizzato l'attributo personalizzato dell'asserzione SAML.

Se si lavora con un IdP, esterno, collegarsi con un solo IdP esterno e far salire gli utenti automaticamente attraverso questo IdP.

Utilizzo dei dati di IdP per costruire profili affidabili

Dopo aver abilitato e collegato il sito IdP,, è possibile iniziare a creare profili di fiducia. Per creare fiducia con gli utenti federati, è possibile utilizzare i dati personali di IdP per cercare nomi e valori di attributi esistenti nell'organizzazione.

Se gli utenti per i quali si sta creando un profilo di fiducia utilizzano IBM Cloud App ID, creare il profilo di fiducia come utente App ID e lo stesso vale per IBMid. In questo modo, gli attributi di SAML possono dare un'idea di come strutturare le condizioni del profilo di fiducia. Altri utenti con lo stesso IdP possono avere attributi diversi di SAML e si può usare il proprio solo come suggerimento. Per utilizzare gli attributi di una richiesta di risarcimento diversi dai propri, è necessario inserirli manualmente.

Le condizioni create filtrano o consentono agli utenti federati di applicare il profilo di fiducia. L'accesso dipende dagli attributi assegnati agli utenti federati nella directory utenti aziendale. Quando si crea un profilo di fiducia, è possibile visualizzare i dati di IdP per vedere i propri dati utente dalla directory utenti aziendale dell'organizzazione.

Diciamo che un attributo chiamato groups identifica reparti, team e organizzazioni interne più granulari all'interno dell'azienda. Se gli sviluppatori statunitensi del team finanziario hanno bisogno di un accesso altrettanto ampio per un progetto, si potrebbe creare un profilo di fiducia con le seguenti condizioni:

  • Consentire gli utenti quando groups è uguale a finance-dev
  • Consentire gli utenti quando country è uguale a us

Per assicurarsi che le condizioni permettano l'accesso solo agli utenti federati che si intende concedere, contattare l'architetto della directory aziendale per ulteriori informazioni sugli attributi disponibili.

Per ulteriori informazioni sui campi utilizzati per creare le condizioni, vedere Proprietà delle condizioni IAM.

Creare condizioni ristrette. Condividete un sito IdP URL con tutti i membri della vostra organizzazione. Se una regola di rivendicazione è troppo aperta, si potrebbe consentire agli utenti di applicare involontariamente un profilo di fiducia con accesso al vostro account.