Self Service Authentifizierungseinstellungen

Jamf Connect Dokumentation
Solution
Application
Jamf Connect
Content Type
Technische Dokumentation
Utilities & Services
ft:locale
de-DE
  • Domäne —com.jamf.connect
  • Lexikon —IdPSettings
  • Beschreibung —

    Dient dazu, Self Service (ehemals die Jamf Connect Menüleisten-App) die vollständige Authentifizierung zwischen dem Identitätsdienst und lokalen Accounts zu ermöglichen. Die erforderlichen Einstellungen unterscheiden sich je nach Identitätsdienst.

Einstellung

Beschreibung

Identitätsdienst

Provider

(Erforderlich) Legt den Namen Ihres cloudbasierten Identitätsdiensts fest. Die folgenden Werte werden unterstützt:

  • Entra ID (ehemals Azure)
  • IBMCI
  • GoogleID
  • Okta
  • OktaIdentityEngine
  • Okta OIDC
  • OneLogin
  • PingFederate
  • Benutzerdefiniert
<key>Provider</key>
<string>Azure</string>

Okta Authentifizierungsserver

OktaAuthServer

(Erforderlich: Okta Classic Engine oder Okta Identity Engine) Legt die Okta Domäne oder den benutzerdefinierten Server für die Authentifizierung für Ihre Organisation fest. Ein vorangestelltes „https://“ ist für Domänen optional.

<key>OktaAuthServer</key>
<string>your-company.okta.com</string>

Client-ID

ROPGID

(Erforderlich: nur OpenID Connect) Legt die Client-ID Ihrer Self Service App bei Ihrem Identitätsdienst fest. Dieser Wert erlaubt es Self Service, eine Ressourcenbesitzer-Passwortgewährung (ROPG) durchzuführen. Dies ist der Prozess, der die Passwortverifizierung vornimmt.

<key>ROPGID</key>
<string>9fcc52c7-ee36-4889-8517-lkjslkjoe23</string>

Ermittlungs-URL

DiscoveryURL

Legt den OpenID Connect Ermittlungs-Endpunkt Ihres Identitätsdiensts fest. Dieser Wert wird in folgendem Format angegeben: https://domaene.url.de/.bekannte/openid-konfiguration

Wenn Sie ADFS verwenden, müssen Sie als Wert Ihre ADFS Domäne sowie Folgendes angeben: /adfs/.well-known/openid-configuration/

Note:

Diese Einstellung ist erforderlich, wenn Ihr Identitätsdienst (OIDCProvider) auf Custom oder PingFederate eingestellt ist.

<key>DiscoveryURL</key>
<string>https://domain.url.com/.well-known/openid-configuration</string>

Mandanten-ID

TenantID

Legt die Mandanten-ID für Ihre Organisation fest, die für die Authentifizierung benutzt wird.

Note:

Wenn IBM Security Verify Ihr Identitätsdienst ist, ist dieser Wert erforderlich und entspricht dem verwendeten Mandantennamen in Ihrer IBM URL (z. B. https://firmenname.ibmcloud.com).

<key>TenantID</key>
<string>companyname</string>

URL für Passwortänderung

ChangePasswordURL

Legt eine URL fest, die eine vom IdP unterstützte Webseite öffnet, auf der Benutzer ihr Passwort ändern können.

Note:

Für Entra ID lautet die Standard-URL https://mysignins.microsoft.com/security-info/password/change.

Im Fall von Okta ist die Standard-URL die Domäne des Einstellungsschlüssels für den Okta Authentifizierungsserver (OktaAuthServer) gefolgt von /enduser/settings.

Wenn Ihr Identitätsdienst Google Identity ist, empfiehlt Jamf, folgende URL zu verwenden: https://myaccount.google.com/intro/signinoptions/password

Organisationen mit benutzerdefinierten Entra ID, Okta oder Google Identity Umgebungen verwenden möglicherweise benutzerdefinierte URLs. 

<key>ChangePasswordURL</key>
<string>https://IDP_EXAMPLE.com/.well-known/change-password</string> 

URL für Passwortrücksetzung

ResetPasswordURL

Legt eine URL fest, die eine vom IdP unterstützte Webseite öffnet, auf der Benutzer bei Bedarf ihr Passwort zurücksetzen können.

Note:

Im Fall von Entra ID lautet die Standard-URL https://passwordreset.microsoftonline.com/.

Im Fall von Okta ist die Standard-URL die Domäne des Einstellungsschlüssels für den Okta Authentifizierungsserver (OktaAuthServer) gefolgt von /signin/forgot-password.

Wenn Ihr Identitätsdienst Google Identity ist, empfiehlt Jamf, folgende URL zu verwenden: Kontowiederherstellung (Google)

Organisationen mit benutzerdefinierten Entra ID, Okta oder Google Identity Umgebungen verwenden möglicherweise benutzerdefinierte URLs. 

<key>ResetPasswordURL</key>
<string>https://IDP_EXAMPLE.com/.well-known/change-password</string>

Client-Geheimnis

ClientSecret

Legt das Client-Geheimnis fest, das von der Self Service App bei Ihrem Identitätsdienst verwendet wird.

<key>ClientSecret</key>
<string>yourClientSecret</string>

Bereiche

Scopes

Hiermit werden benutzerdefinierte OIDC-Bereiche festgelegt, mit denen bei der Autorisierung zusätzliche Ansprüche im ID-Token eines Benutzers zurückgegeben werden. Zu den standardmäßigen Anwendungsbereichen gehören openid, profile und offline_access. Wenn Sie mehrere Bereiche hinzufügen, trennen Sie diese mit „+“.

<key>Scopes</key>
<string>openid+profile</string>

Erfolgscodes für Passwortverifizierung

SuccessCodes

Legt ein Array von Zeichenfolgen mit Fehlercodes aus Ihrem Identitätsdienst fest, die von Self Service während der Verifizierung eines Passworts mittels Ressourcenbesitzer-Passwortgewährung (ROPG) als „erfolgreich“ interpretiert werden müssen.

Infos zu möglichen Fehlercodes, die Sie möglicherweise in Ihrer Umgebung konfigurieren müssen, finden Sie in der Dokumentation Microsoft Entra-Authentifizierungs- und -Autorisierungsfehlercodes von Microsoft.

Wenn Sie OneLogin und Multi-Faktor-Authentifizierung in Ihrer Umgebung nutzen, legen Sie diesen Schlüssel auf MFA fest.

<key>SuccessCodes</key>
<array>
<string>AADSTS50012</string>
<string>AADSTS50131</string>
</array>

Lizenzdatei

LicenseFile

Legt den Inhalt einer im Base64-Datenformat codierten Jamf Connect Lizenz-Datei fest. Lizenzdateien sind verfügbar via Jamf Account.

<key>LicenseFile</key>
<data>encoded-license-content</data>

Administratorattribut

OIDCAdminAttribute

Gibt an, welches Attribut in der Einstellung User Promotion Role (Benutzerhöherstufungsrolle) (UserPromotionRole) für die Funktion Berechtigungserweiterung verwendet werden soll. Standardmäßig verwendet Self Service das Attribut Gruppen und sucht darin nach den in der Einstellung Administratorrollen (OIDCAdmin) angegebenen Werten.

Note:

Wenn Sie Microsoft Entra ID verwenden, stellen Sie diesen Wert auf roles ein. Wenn Sie Google Identity verwenden, können die Benutzerrollen nicht anhand eines ID-Tokens definiert werden.

Wenn die Einstellung Administratorattribut (OIDCAdminAttribute) manuell konfiguriert wird, fügen Sie die Einstellung dem Verzeichnis IdPSettings und nicht dem Verzeichnis TemporaryUserPermissions hinzu.

<key>OIDCAdminAttribute</key>
<string>groups</string>