步骤2:配置身份转换规则
联邦用户的身份及权限信息由企业管理员通过企业IdP维护,通过规则可以将联邦用户的身份及权限信息映射到本系统中,通过规则可以控制联邦用户可以执行哪些操作、访问哪些资源等。
- 修改身份转换规则后,对已登录的联邦用户不会即时生效,需重新登录后新规则才可生效。
- 如果需要修改用户的权限,修改用户所属用户组的权限即可,修改后,需要重启企业IdP系统使设置生效。
前提条件
已在本系统创建身份提供商,并验证身份提供商的登录链接可以正常使用,如何创建并验证身份提供商请参见:步骤1:创建身份提供商。
操作步骤
您可以使用“创建规则”,IAM会将您填写的身份转换规则参数转换成JSON语言;也可以单击“编辑规则”直接编写JSON语言,编辑身份转换规则的详细说明和示例。
- 创建规则
- 管理员在统一身份认证服务的左侧导航窗格中,单击“身份提供商”。
- 在身份提供商列表中,选择您创建的身份提供商,单击“修改”。
- 在“身份转换规则”区域单击“创建规则”。
表1 参数说明 参数名
描述
说明
用户名
联邦用户在本系统中显示的用户名,以下简称“联邦用户名”。
为了区分本系统的用户与联邦用户,建议此处配置用户名为“FederationUser-IdP_XXX”。其中“IdP”为身份提供商名称,如ADFS、Shibboleth等,用于区分不同身份提供商下的联邦用户;“XXX”为自定义的具体名称。
也可将联邦用户名设置为一个简单的表达式,如:FederationUser-IdP_{email}。身份转换规则创建成功后,{email}自动替换为联邦用户的邮箱。
须知:同一账号中的联邦用户名需要确保其在本账号内唯一。如果同一账号内出现重复的联邦用户名(无论是在一个或是多个身份提供商下的联邦用户名),则重名的联邦用户在本系统中应用同一个IAM用户。
用户组
联邦用户在本系统中所属的用户组。
联邦用户拥有所属用户组的权限。
本规则生效条件
联邦用户拥有所选用户组权限的生效条件。
当满足该生效条件时,联邦用户具有所属用户组的权限;当不满足生效条件时,该规则不生效,且不满足生效条件的用户无法访问本系统。一个身份转换规则最多可以创建10条生效条件。
说明:- 一个规则可以创建多条生效条件,所有生效条件均满足,此规则才可以生效。
- 一个身份提供商可以创建多条规则,规则共同作用。如果所有规则对某个联邦用户都不生效,那么该联邦用户禁止访问本系统。
示例:为企业系统管理员设定规则。
- 用户名:FederationUser-IdP_admin_{email}
- 用户组:“admin”
- 生效条件:“属性”:“_NAMEID_”;“条件”:“any_one_of”;“值”:“ID1;ID2;ID3”。表示仅用户ID为ID1,ID2或ID3的用户具有本系统中的“admin”用户组的权限,该IdP的其他用户不具有“admin”用户组的权限。
- 在“创建规则”页面,单击“确定”。
- 在“修改身份提供商”页面,单击“确定”,使配置生效。
- 编辑规则
- 管理员登录本系统,进入IAM控制台,并在左侧导航窗格中,单击“身份提供商”。
- 在身份提供商列表中,选择您创建的身份提供商,单击“修改”。
- 在“身份转换规则”区域单击“编辑规则”。
- 在编辑框内输入JSON格式的身份转换规则,具体说明请参见:联邦用户身份转换规则说明。
- 单击“校验规则”,对已编辑的规则进行语法校验。
- 界面提示“规则正确”:在“编辑规则”页面,单击“确定”;在“修改身份提供商”页面,单击“确定”,使配置生效。
界面提示“JSON文件格式不完整”:请修改JSON语句,或单击“取消”,取消本次修改内容。