SAML-Konfiguration

Konfigurieren Sie die folgenden Einstellungen für Ihren SAML-Identitätsanbieter. Wenn Sie fertig sind, fahren Sie fort mitFME FlowEinstellungen (unten).

• Just-in-Time-Bereitstellung (automatische Mitgliedschaft): Stellen Sie sicher, dass diese Einstellung aktiviert ist.
• Entitäts-ID (Zielgruppen-URI): Eingestellt auf<FMEFlowWebURL>/fmesaml/saml2/service-provider-metadata/fmeserver

Wo<FMEFlowWebURL> ist der vollqualifizierte Hostname für IhrFME Flow, einschließlich Hostname und Domäne (z. B.https://fmeflow.domain.com).

• Single Sign-On-URL (Anwendungs-Callback-URL, Assertion Consumer Service-URL): Eingestellt auf<FMEFlowWebURL>/fmesaml/login/saml2/sso/fmeserver

Wo<FMEFlowWebURL> ist der vollqualifizierte Hostname für IhrFME Flow, einschließlich Hostname und Domäne (z. B.https://fmeflow.domain.com).

Wählen Sie auf der Seite Authentifizierungsdienste die OptionSAML-Konfiguration verschieben Sie dieErmöglichtSchieberegler nach rechts und geben Sie die erforderlichen Metadaten und anderen Einstellungen wie folgt ein.

• Metadatendatei hochladen: Wenn diese Option aktiviert ist, können Sie die Metadatendatei Ihres SAML-Anbieters in dasMetadatendatei des Identitätsanbieters Feld. Sie können die entsprechende Datei per Drag & Drop in den dafür vorgesehenen Bereich ziehen. Alternativ können Sie in den dafür vorgesehenen Bereich klicken, um nach der Datei zu suchen.
TippDiese Datei hat normalerweise die Erweiterung .xml.

Wenn nicht aktiviert, müssen Sie die folgenden Felder manuell ausfüllen:

• SSO-URL des Identitätsanbieters
• Identitätsanbieter-Aussteller
• X.509-Zertifikat des Identitätsanbieters
• Neue Standardrolle für Benutzer: WennRolleist unter Attributfeldzuordnungen (unten) nicht angegeben oder kann nicht ermittelt werden,FME FlowRolle um sie neuen Benutzern zuzuweisen. Diese Rolle muss bereits vorhanden sein inFME Flow.
WarnungWennfmesuperuserangegeben ist, werden alle Berechtigungen erteilt inFME Flow für neue Benutzer.

Attributfeldzuordnungen (optional):FME Flow Benutzerattribute werden neuen Benutzern gemäß einer angegebenen Zuordnung zugewiesen. Wenn nicht angegeben, wird eine Standardzuordnung konfiguriert. Wenn der Identitätsanbieter beispielsweise Azure Active Directory ist, wird der Benutzername dem Azure AD-Namen zugeordnet.

Geben Sie Attributnamen von Ihrem Identitätsanbieter ein, um sie den folgenden Elementen zuzuordnenFME Flow Benutzerattribute:

TippInformationen und Beispiele zum Konfigurieren von Attributen auf Ihrem SAML-Identitätsanbieter und zum Zuordnen zuFME Flow:
• Konfigurieren der Benutzerattributzuordnung mit dem Azure AD SAML-Anbieter
• Konfigurieren der Benutzerattributzuordnung mit dem Okta SAML-Anbieter
• Vorname: Dieses Attribut ist verknüpft mitNachname zur KarteVollständiger Name einesFME Flow Benutzerkonto.
• Nachname: Dieses Attribut ist verknüpft mitVorname zur Karte Vollständiger Name einesFME Flow Benutzerkonto.
• Benutzername: Das Attribut, das dem Benutzer zugeordnet werden sollNameeinesFME Flow Konto.
• E-Mail: Das Attribut, das demE-MaileinesFME Flow Benutzerkonto.
• Rolle: Das Attribut, das demRolle einesFME Flow Benutzerkonto. Wenn Ihr Identitätsanbieter mit „eindeutigen“ oder „benutzerdefinierten“ Attributen konfiguriert ist, auf die im Distinguished Name (DN) einer gültigen LDAP-Zeichenfolge verwiesen wird, müssen Sie diese Attribute angeben. Dieses Feld überschreibt alle Werte, die fürNeue Standardrolle für Benutzer, über. Die Werte der angegebenenRolleauf dem Identitätsanbieter müssen mit vorhandenen Rollen in übereinstimmenFME Flow.
• Signieranfragen (optional): Wenn aktiviert, füllen Sie Folgendes aus, um sicherzustellen, dass Anfragen zwischenFME Flow und der Identitätsanbieter sind signiert:
  Notiz Diese Konfiguration wird von Ihrem SAML-Identitätsanbieter möglicherweise nicht unterstützt.
  1. Geben Sie eineDienstanbieterzertifikat Und Dienstanbieterschlüssel. Sie können ein Zertifikat und einen Schlüssel mit einer Drittanbieteranwendung wie OpenSSL erstellen oder Ihre IT-Abteilung bitten, diese zu generieren. Das Zertifikatsformat muss DER-codiert oder PEM-codiert X.509 sein. Das Schlüsselformat muss PEM PKCS#8-codiert sein.

  2. Laden Sie das Zertifikat hoch oder verweisen Sie in Ihren SAML-Identitätsanbieter.

Erweiterte Einstellungen (optional): Die folgenden Einstellungen erfordern eine Bearbeitung der Textdatei application.properties. Wenn IhrFME Flow verwendet einen Apache Tomcat-Webanwendungsserver, der mit der Installation bereitgestellt wird. Diese Datei befindet sich in <FMEFlowDir>\Dienstprogramme\tomcat\webapps\fmesaml\WEB-INF\classes\. Wenn Sie fertig sind,NeustartDieFMEFlowAppServer Systemdienst.

• fmeserver.saml.authentication.force: WennWAHR(Standard) erzwingt die Eingabeaufforderung für Benutzeranmeldeinformationen, wenn die SAML-Anmeldung eingeleitet wird. WennFALSCHermöglicht dem Benutzer, abhängig vom im Browser zwischengespeicherten Status der SAML-Anmeldung, die automatische Anmeldung.
• fmeserver.saml.clockskew.enable: WennFALSCH (Standard), ermöglicht die Anmeldung im Falle einer fehlgeschlagenen Datums-/Uhrzeit-Zusicherung. Die SAML-Assertion kann fehlschlagen, wenn die Systemuhren des Identitätsanbieters und des Dienstanbieters nicht synchronisiert sind. WennWAHR,FME Flow Die SAML-Konfiguration berücksichtigt diefmeserver.saml.clockskew.minutes Einstellung (unten).
• fmeserver.saml.clockskew.minutes: Wennfmeserver.saml.clockskew.enable=true, gibt die zulässige Taktabweichung in Minuten an.