Im Menü „OpenID-Konfiguration“ werden Schnittstellen für die OpenID Connect-Authentifizierung und -Bereitstellung konfiguriert.
Jede Schnittstelle besteht aus zwei verknüpften Teilen, einer Identity-provider-Konfiguration und einer Client-application-Konfiguration, die über eine gemeinsame Provider ID verbunden sind.
OpenID Connect kann clientspezifisch konfiguriert werden, d. h. es können mehrere Schnittstellen definiert werden. Zusätzlich zu der hier vorgenommenen Konfiguration muss im Tab „Zugriff und Sicherheit“ der Funktion „Mandant“ eine Checkbox namens „OpenID Connect“ aktiviert werden.
Beschreibung
|
Einstellungen |
Beschreibung |
|---|---|
|
OpenID aktivieren |
Aktiviert diese OpenID-Connect-Konfiguration, damit sich Nutzende über den konfigurierten Identity Provider authentifizieren können. Wenn die Einstellung deaktiviert ist, wird diese Konfiguration nicht für die Anmeldung verwendet. |
|
PKCE verwenden |
|
|
Request expiry time |
|
|
OIDC-Profil-Identifikator Attribut |
Datenbankname des imc-Attributs in der Tabelle PERSON, das zur Identifizierung eines Benutzers bei der Bereitstellung eines OIDC-Kontos verwendet wird. |
Identity provider
|
Einstellungen |
Beschreibung |
|---|---|
|
Provider ID (max. 2000 Zeichen) |
|
|
Authorization endpoint (max. 2000 Zeichen) |
Die URL, an die der Client die Nutzenden weiterleitet, damit sie sich authentifizieren und den Zugriff auf geschützte Ressourcen genehmigen. |
|
Token endpoint (max. 2000 Zeichen) |
|
|
User info endpoint (max. 2000 Zeichen) |
|
|
Response Type (max. 2000 Zeichen) |
Legt fest, welche Art von Antwort der Client nach der Authentifizierung vom Autorisierungsserver erwartet. |
|
Scope (max. 2000 Zeichen) |
Definiert die Berechtigungen oder Ressourcen, die der Client beim Autorisierungsserver anfordert. |
|
Response mode (max. 2000 Zeichen) |
|
|
Prompt (max. 100 Zeichen) |
|
|
Validation issuer (max. 2000 Zeichen) |
|
|
JSON webkey set URL (max. 2000 Zeichen) |
|
|
Discovery URL (max. 2000 Zeichen) |
|
|
Claim ID (max. 2000 Zeichen) |
|
|
Claim Value Id (max. 2000 Zeichen) |
|
|
Person attribute (max. 30 Zeichen) |
Das eindeutige Attribut, zum Beispiel die E-Mail-Adresse, das beim Client-Mapping verwendet wird, um eingehende Authentifizierungsdaten einem vorhandenen LMS-Nutzerdatensatz zuzuordnen. |
|
Parameter „id_token_hint“ beim Logout senden |
|
Client application
|
Einstellungen |
Beschreibung |
|---|---|
|
Provider ID (max. 2000 Zeichen) |
Eindeutige Kennung, die mit der im Abschnitt „Client application“ referenzierten übereinstimmen muss. |
|
Default client |
|
|
Konto-Bereitstellung aktivieren |
|
|
Client ID (max. 2000 Zeichen) |
Eindeutige Kennung des eigenen Systems, der Relying Party, innerhalb des Identity Providers, des OpenID Providers. |
|
Client name (max. 2000 Zeichen) |
|
|
Client app ID (max. 2000 Zeichen) |
|
|
Client app secret (max. 2000 Zeichen) |
|
|
Policy (max. 2000 Zeichen) |
|
|
Redirect URI (max. 2000 Zeichen) |
Die URL, an die der Identity Provider das ID-Token und das Authentifizierungsergebnis sendet. |
|
Allowed entry points (max. 2000 Zeichen) |
|
Client-Mapping
Einstellungen
|
Einstellungen |
Beschreibung |
|---|---|
|
Mandant |
Mandant, auf den sich das Mapping bezieht |
|
Standard |
Mit dieser Einstellung kann eine Mandanten-Zuweisung als "Standard-Mandant" definiert werden. Der als Standard eingestellte Mapping-Eintrag wird automatisch übernommen, wenn durch Abgleich der URL-Parameter mit der Konfiguration des Mandanten keine andere OIDC-Mapping-Konfiguration gefunden wird. In der Mandanten-Konfiguration kann definiert werden, wie das System den zu verwendenden Mandanten nach dem ersten Kontakt abgleichen soll; dies geschieht normalerweise über URL-Parameter wie client=external. Mit diesen Informationen sucht der SSO-Prozess in der OIDC-Konfiguration nach einem passenden Mandanten; wenn er keinen findet und es keine Vorgabe gibt, tritt ein Fehler auf. Gibt es jedoch eine Vorgabe, wird diese Zuordnung verwendet und es tritt kein Fehler auf. |
|
Personenidentifier |
Attribut, das verwendet wird, um den Benutzer in der Quelle dem LMS zuzuordnen |
|
Bestehenden Benutzer aktualisieren |
Wenn der Wert auf ticked/true gesetzt ist, werden bereits existierende Personen mit den in der OIDC-Antwort gefundenen Attributen aktualisiert. |
|
Import ohne Selbstregistrierung |
Wenn der Wert angekreuzt/true ist, werden Personen automatisch angelegt und es wird keine Seite zur Selbstregistrierung angezeigt. |
|
Referenz |
Bestimmt, ob alle durch Mapping-Elemente spezifizierten Quellfelder in der Importdatei erwartet und importiert werden. TRUE: Die Mapping-Elemente bestimmen, welche Felder importiert werden. In der Importdatei zusätzlich befindliche Spalten werden ignoriert, falls der Parameter ignoreEmptyFields spezifiziert und auf "true" gesetzt ist. FALSE: Nur die in der Importdatei enthaltenen Spalten werden importiert, sofern sie im Mapping definiert sind. Durch Mapping-Elemente zusätzlich spezifizierte Attribute werden ignoriert. |
Mapping-Einträge
|
Einstellungen |
Beschreibung |
|---|---|
|
Quellenfeld |
Name des Quellfeldes |
|
Zielfeld |
Name des zugeordneten Zielfeldes im LMS-Benutzerprofil |
|
Hash-Identifikator |
Kennzeichnet ein Hashtabellen-Element, das innerhalb des Elements personImport/rules definiert ist. Hinweis: Ist dieses optionale Element spezifiziert, wird die referenzierte Hashtabelle dazu verwendet, um aus dem Wert des Quellfeldes (sourceField) den Wert des Zielfeldes (clixField) zu bestimmen. |
|
Leeres Feld ignorieren |
Bestimmt, ob leere Attributwerte von Personenprofilen beim Import nach LMS berücksichtigt und nach LMS übertragen werden oder nicht. False/Unticked: Leere Personenprofilattributwerte werden nach LMS übertragen. True/Ticked: Leere Personenprofilattribute werden beim Import ignoriert. |