Users Guide

e. (Optional) Verbindung testen - Klicken Sie auf URI- und SSL-Verbindung testen, um die Verbindung mit dem OpenID Connect-
Anbieter zu testen.
ANMERKUNG: Die Testverbindung hängt nicht vom Benutzernamen und Kennwort oder den Angaben des
Erstzugriffstokens ab, da nur die Gültigkeit der angegebenen Discovery URI überprüft wird.
f. (Optional) Aktiviertes Kontrollkästchen - Sie können das Kontrollkästchen aktivieren, um den autorisierten Client-Zugriffstoken die
Anmeldung bei der Appliance zu ermöglichen.
3. Klicken Sie auf Fertigstellen.
Der neu hinzugefügte OpenID-Connect-Anbieter ist auf der Seite Anwendungseinstellungen > Benutzer > OpenID-Connect-Anbieter
aufgelistet, und die Client-ID befindet sich im rechten Fensterbereich.
Nächste Schritte:
Konfigurieren Sie eine OpenID Connect-Anbieterrichtlinie in PingFederate für den rollenbasierten Zugriff auf OpenManage Enterprise auf
Seite 161
Konfigurieren Sie eine OpenID Connect Provider-Richtlinie in Keycloak für den rollenbasierten Zugriff auf OpenManage Enterprise auf
Seite 162
Konfigurieren Sie eine OpenID Connect-Anbieterrichtlinie in
PingFederate für den rollenbasierten Zugriff auf OpenManage
Enterprise
Um die OpenManage Enterprise OpenID Connect-Anmeldung mit PingFederate zu aktivieren, müssen Sie der Client-ID einen Bereich
dxcua (Dell erweiterter Claim für die Benutzerauthentifizierung) hinzufügen und zuordnen und die Benutzerberechtigungen wie folgt
definieren:
WARNUNG:
Benutzerrollen und -bereiche werden bei der erneuten Registrierung des Clients mit dem OIDC-Anbieter
PingFederate (PingIdentity) auf „Standard“ zurückgesetzt. Dieses Problem kann die Berechtigungen und den Umfang
der Nicht-Administrator-Rollen (DM und Viewer) auf die des Administrators zurücksetzen. Die erneute Registrierung
der Appliance-Konsole mit dem OIDC-Anbieter wird im Falle eines Upgrades der Appliance, der Änderung der
Netzwerkkonfiguration oder der Änderung des SSL-Zertifikats ausgelöst.
Um Sicherheitsbedenken nach einem der oben erwähnten Neuregistrierungsereignisse zu vermeiden, muss der
Administrator alle OpenManage Enterprise Client-IDs auf der PingFederate-Website neu konfigurieren. Außerdem
wird dringend empfohlen, dass Client-IDs nur für Administrator-Benutzer mit Pingfederate erstellt werden, bis dieses
Problem behoben ist.
ANMERKUNG:
● Der Standardalgorithmus für die Zuweisung sollte RS256 (RSA-Signatur mit SHA-256) sein.
1. Fügen Sie einen „exklusiven“ oder „Standard“-Bereich namens dxcua unter Bereichsverwaltung in den OAuth-Einstellungen hinzu.
2. Erstellten Bereich zuweisen in OpenID Connect Richtlinienmanagment > Richtlinie mit folgenden Schritten:
a. Aktivieren Sie Benutzerinfo in Token einschließen
b. Fügen Sie im Attributbereich den Bereich und den Attributwert als dxcua hinzu.
c. Fügen Sie unter „Vertragserfüllung“ dxcua hinzu und wählen Sie den Typ als „Text“ aus. Definieren Sie dann die Benutzerprivilegien
für die OpenManage Enterprise OpenID Connect Anbieteranmeldung mit einem der folgenden Attribute:
i. Administrator: dxcua : [{“Role": "AD"}]
ii. Device Manager: dxcua : [{“Role": "DM"}]
ANMERKUNG:
Um den Zugriff des Geräte-Managers auf die Auswahl von Gerätegruppen zu beschränken (z. B. G1 und
G2), verwenden Sie in OpenManage Enterprise dxcua : [{“Role": "DM", "Entity":"G1, G2"}]
iii. Viewer: dxcua : [{“Role": "VE"}]
d. Wenn nach der Client-Registrierung in OpenManage Enterprise ein „ausschließender“ Bereich konfiguriert wird, bearbeiten Sie den
konfigurierten Client in PingFederate und aktivieren Sie den erstellten ausschließenden Bereich „dxcua“.
3. Die dynamische Client-Registrierung sollte in PingFederate für die OpenManage Enterprise Client-Registrierung aktiviert werden.
Wenn die Option „Token für Erstzugriff anfordern“ in den Client-Einstellungen des OpenID Connect-Anbieters nicht ausgewählt ist,
funktioniert die Registrierung mit Nutzername und Kennwort. Wenn die Option aktiviert ist, dann funktioniert die Registrierung nur mit
dem Erstzugriffs-Token.
Verwalten von OpenManage Enterprise-Geräteeinstellungen
161