Erweiterte Authentifizierungseinstellungen beim Anmelden

Jamf Connect Dokumentation
Solution
Application
Jamf Connect
Content Type
Technische Dokumentation
Utilities & Services
ft:locale
de-DE
  • Domäne —com.jamf.connect.login
  • Beschreibung —

    Dient dazu, erweiterte Authentifizierungseinstellungen zu konfigurieren und benutzerdefinierte Ansprüche in einem ID-Token zu verwenden.

Einstellung

Beschreibung

Benutzerdefinierter Server für die Authentifizierung mit Okta

OIDCAuthServer

(Nur Okta) Gibt einen benutzerdefinierten Autorisierungsserver für Ihren Okta Mandanten an, der bei der Erstellung des lokalen Accounts zum Senden benutzerdefinierter Anwendungsbereiche und Ansprüche im ID-Token (gespeichert über die Einstellung OIDCIDTokenPath) eines Benutzers verwendet werden kann.

Um diesen Wert festzulegen, verwenden Sie die ID des benutzerdefinierten Autorisierungsservers, die als Zeichenfolge am Ende der Aussteller-URI Ihres benutzerdefinierten Autorisierungsservers zu finden ist. In der Aussteller-URI unter aus9o8wzkhckw9TLa0h7z steht die Autorisierungsserver-ID.

Beispiel:https://ihr-benutzerdefinierter-authentifizierungsserver.okta.com/oauth2/abc8o8wzjhckw
Um diese Einstellung zu verwenden, müssen Sie eine Okta App-Integration zur Definition von Benutzerrollen für die Einstellung (OIDCAccessClientID) erstellen.
Hinweis:

Diese Einstellung sollte nur verwendet werden, wenn Ihr Okta Mandant einen eigenen Autorisierungsserver hat, mit dem OpenID Connect Apps und ID-Token-Attribute verwaltet werden. Wird diese Einstellung mit denselben Werten konfiguriert wie der primäre Mandant, der mit der Einstellung Authentifizierungsserver (AuthServer) verwendet wird, kann es bei der Authentifizierung bei Okta zu unerwarteten Fehlern kommen.

<key>OIDCAuthServer</key>
<string>abc8o8wzjhckw9TLa0t8q</string>

Weitere Informationen zum Erstellen eines benutzerdefinierten Autorisierungsservers finden Sie in der Dokumentation Create an authorization server (Erstellen eines Autorisierungsservers) von Okta Developer.

Cookies ignorieren

OIDCIgnoreCookies

Sorgt dafür, dass von der Anmeldefenster-App gespeicherte Cookies ignoriert werden.

<key>OIDCIgnoreCookies</key>
<false/>

Anwendungsbereiche für OpenID Connect

OIDCScopes

Hiermit werden benutzerdefinierte Anwendungsbereiche festgelegt, mit denen bei der Autorisierung zusätzliche Ansprüche im ID-Token eines Benutzers angegeben werden. Zu den standardmäßigen Anwendungsbereichen gehören openid, profile und offline_access. Wenn Sie mehrere Bereiche hinzufügen, trennen Sie diese mit dem „+“ -Symbol.

<key>OIDCScopes</key>
<string>openid+profile</string>

Vollständiger Name

OIDCFullName

Gibt einen einzelnen anderen Anspruch für den vollständigen Namen an, z. B. firstName, lastName oder einen anderen benutzerdefinierten Wert, der in Ihrer Umgebung eindeutig ist. Diese Einstellung setzt die Standardattribute außer Kraft, mit denen der vollständige Name für einen Account festgelegt wird: name, family_name/given_name und first/last.

<key>OIDCFullName</key> 
<string>customName</string>

Kurzname

OIDCShortName

Hiermit wird angegeben, welcher Anspruch aus dem ID-Token des Benutzers als lokaler macOS Accountname (Kurzname) verwendet werden soll. Der eindeutige Netzwerkname des Benutzers (UPN-Präfix) wird dem lokalen Account des Benutzers als Aliasname hinzugefügt.

Wenn die Einstellung Vorhandene lokale Accounts mit Netzwerkaccount verknüpfen (Migrate) konfiguriert ist, wird der in der Einstellung Kurzname (OIDCShortName) definierte Wert als Alias für den vorhandenen lokalen UNIX-Benutzeraccount angezeigt. Der lokale Accountname des bestehenden Benutzers wird durch diese Einstellung nicht geändert.

Hinweis:

Wenn der Anspruch, den Sie verwenden möchten, nicht im Standard-ID-Token enthalten ist, können Sie zusätzliche Ansprüche über ein ID-Token beziehen, indem Sie mit dem Einstellungsschlüssel OIDCScopes zusätzliche Ansprüche angeben.

<key>OIDCShortName</key>
<string>given_name</string>

ROPG-Kurzname

OIDCROPGShortName

Legt fest, welcher Anspruch eines ID-Tokens während des Workflows zur ROPG-Authentifizierung (Passwort-Verifizierung) als Benutzername verwendet werden soll.

Hinweis:

Wenn der Anspruch, den Sie verwenden möchten, nicht im Standard-ID-Token enthalten ist, können Sie zusätzliche Ansprüche über ein ID-Token beziehen, indem Sie mit dem Einstellungsschlüssel OIDCScopes zusätzliche Ansprüche angeben.

Diese Einstellung wird nur in komplexen Identitätsdienst-Umgebungen verwendet, in denen der Identitätsdienst die von Jamf Connect während des ROPG-Workflows zur Definition des Benutzernamens verwendeten Ansprüche (z. B., unique_name, preferred_username, email und sub) nicht anerkennt.

<key>OIDCROPGShortName</key>
<string>given_name</string> 

Pfad für formatiertes ID-Token

OIDCIDTokenPath

Hiermit wird der Dateipfad angegeben, unter dem das formatierte ID-Token eines Benutzers gespeichert werden kann.

Hinweis:

Diese Einstellung erfordert, dass der „RunScript“-Mechanismus aktiviert ist. Weitere Informationen finden Sie unter Hinzufügen eines Anmeldeskripts.

<key>OIDCIDTokenPath</key>
<string>/tmp/token</string>

Pfad für das ID-Token in Rohdatenform

OIDCIDTokenPathRaw

Hiermit wird der Dateipfad angegeben, der zum Speichern des ID-Tokens eines Benutzers in Rohdatenform verwendet wird.

Hinweis:

Diese Einstellung erfordert, dass der „RunScript“-Mechanismus aktiviert ist. Weitere Informationen finden Sie unter Hinzufügen eines Anmeldeskripts.

<key>OIDCIDTokenPathRaw</key>
<string>/tmp/token-raw</string>

UseUserInfo

(Nur PingFederate) Wenn sie aktiviert (auf true festgelegt) ist, ermöglicht es diese Einstellung Jamf Connect, weitere Ansprüche von einem PingFederate Token anzufordern. Diese Einstellung sollte nur verwendet werden, wenn Sie intern verwaltete Referenztoken von PingFederate ausgeben.

Weitere Informationen zum Verwalten von PingFederate finden Sie in der Dokumentation OAuth configuration (OAuth-Konfiguration) von PingIdentity.

<key>UseUserInfo</key>
<false/>