Benutzer- und Gruppenbereitstellung in Jitterbit App Builder

App Builder unterstützt die automatisierte Benutzer- und Gruppenbereitstellung. Die Bereitstellung reduziert den Verwaltungsaufwand, indem die manuelle Erstellung von Benutzern und Gruppen in App Builder minimiert wird.

Bereitstellungsstrategien

Bereitstellungsstrategien fallen in eine von zwei Kategorien:

1. Just-In-Time (JIT) - Benutzerkonten werden bei Bedarf während des Anmeldeprozesses erstellt.
2. Service Provider (SP) APIs - Identity Provider (IdPs) verwalten Benutzer und Gruppen über von SP bereitgestellte APIs.

Jeder Ansatz hat Vor- und Nachteile.

Nachteile der JIT-Bereitstellung sind:

• Benutzer können nicht entfernt werden.
• Der SP hat keine vollständige Liste der Benutzer und Gruppen.
• Benutzer und Gruppen können unsynchronisiert werden, wenn Benutzer und Gruppen keine unveränderliche Kennung (z. B. eine GUID oder SID) haben.

Nachteile von SP APIs sind:

• Die meisten SP-APIs sind proprietär (Salesforce, Azure, Google usw.). Neue Standards wie System for Cross-Domain Identity Management (SCIM) sind nicht weit verbreitet.
• Eine SP-API ist komplizierter zu konfigurieren und erfordert häufig benutzerdefinierte Codierung.
• Alle Benutzer müssen beim SP registriert werden. Vorhandene Benutzerkonten müssen bei der Ersteinrichtung in Gruppen registriert werden.

Bereitstellungsstrategie von App Builder

App Builder implementiert JIT-Bereitstellung auf der Ebene des Sicherheitsanbieters. Bei Aktivierung erstellt App Builder Benutzerkonten nach erfolgreicher Validierung von Sicherheitstoken (z. B. eine SAML-Assertion oder ein OAuth 2.0-Autorisierungscode).

Bei der Konfiguration der Benutzerbereitstellung können Administratoren angeben, ob das Sicherheitstoken eine Gruppenmitgliedschaft enthält. In diesem Fall extrahiert App Builder die Gruppen aus dem Sicherheitstoken, registriert sie in App Builder und ordnet den Benutzer diesen Gruppen zu. Beachten Sie, dass nicht alle Authentifizierungsschemas diese Option unterstützen. Weitere Informationen finden Sie in der Dokumentation des Sicherheitsanbieters.

Wie oben erwähnt, unterstützt die JIT-Strategie die Benutzerentfernung nicht. App Builder mindert diese Einschränkung durch Deaktivierung der lokalen Anmeldung. Genauer gesagt: Wenn dem Benutzerkonto kein Passwort zugewiesen wurde, kann sich der Benutzer nicht direkt bei App Builder anmelden. Dennoch müssen Sicherheitsadministratoren sich bei App Builder anmelden und verwaiste Benutzerkonten löschen.

Bereitstellung aktivieren

Die Benutzerbereitstellung setzt voraus, dass die Authentifizierung an einen Identity Provider (IdP) delegiert wird. Daher erfordert die Benutzerbereitstellung einen Authentifizierungs-Sicherheitsanbieter wie einen Single Sign-On (SSO)-Sicherheitsanbieter. Beispiele sind SAML SSO (z. B. Okta), WS-Federation (Microsoft Entra ID oder Active Directory Federation Services) oder andere externe Authentifizierungsanbieter (z. B. Salesforce).

Die Benutzerbereitstellung ist standardmäßig deaktiviert und muss von einem Sicherheitsadministrator aktiviert werden. So aktivierst du die Benutzerbereitstellung:

1. Navigiere zur IDE.
2. Klicke auf Security Providers.
3. Doppelklicke auf den entsprechenden Sicherheitsanbieter im Fenster Security Providers.
4. Klicke auf Edit im Fenster Provider.
5. Aktiviere die Option User Provisioning.
6. Klicke auf die Schaltfläche Save.

Identitäten vorhandenen Benutzern zuordnen

Standardmäßig erstellt der Benutzerbereitstellungsprozess neue Benutzerkonten, ordnet aber eine Identität keinem vorhandenen Konto zu. Die Bereitstellung schlägt fehl, wenn ein Benutzer mit dem angegebenen Namen vorhanden ist.

Falls der IdP eine vertrauenswürdige, einzige Quelle der Autorität ist, erwäge die Aktivierung der Option Match Existing User. Diese Option ermöglicht dem Bereitstellungsprozess, eine Identität einem vorhandenen Benutzer mit demselben Namen zuzuordnen. Die Zuordnung findet nur statt, wenn das Benutzerkonto noch keine Identität für den Sicherheitsanbieter zugeordnet hat.

Die Option Match Existing User ist nach Aktivierung von User Provisioning verfügbar.

Autorisierung konfigurieren

Die Bereitstellung von Benutzern ist nur ein Teil des Puzzles. Standardmäßig haben neue Benutzerkonten keinen Zugriff auf Anwendungen. Um den Bereitstellungsprozess vollständig zu automatisieren, sollten Administratoren sicherstellen, dass neue Benutzer bei der Anmeldung entsprechende Berechtigungen erhalten. Es gibt 4 mögliche Vorgehensweisen:

• Standardmäßig werden neue Benutzer der Sicherheitsgruppe "Benutzer" hinzugefügt. Administratoren können der Gruppe "Benutzer" Zugriff auf eine oder mehrere Anwendungen gewähren. Dies wird in der Regel nicht empfohlen. Die Sicherheitsgruppe "Benutzer" ist für alle authentifizierten Benutzer vorgesehen. Daher haben alle authentifizierten Benutzer Zugriff auf die gewährten Anwendungen, was möglicherweise nicht das gewünschte Ergebnis ist. Darüber hinaus gehört die Sicherheitsgruppe "Benutzer" zu App Builder und kann von der Anwendung während eines Upgrades geändert werden.
• Erstelle eine neue Sicherheitsgruppe und aktiviere die Option Bei Benutzererstellung gewähren. Wenn Bei Benutzererstellung gewähren aktiviert ist, werden neu erstellte Benutzer automatisch zur Gruppe hinzugefügt. Dies ist vorzuziehen gegenüber Option 1, da eine benutzerdefinierte Sicherheitsgruppe anstelle der integrierten Gruppe "Benutzer" verwendet wird. Die Option Bei Benutzererstellung gewähren gilt jedoch für alle Benutzer, unabhängig davon, ob sie manuell über die Benutzeroberfläche oder automatisch durch einen Sicherheitsanbieter bereitgestellt werden.
• Erstelle eine neue Sicherheitsanbieter-Gruppe und aktiviere die Option Bei Identitätserstellung gewähren. Im Gegensatz zu einer Sicherheitsgruppe ist eine Sicherheitsanbieter-Gruppe spezifisch für einen Sicherheitsanbieter. Wie in Option 2 müssen Administratoren eine Sicherheitsgruppe erstellen und ihr Zugriff auf eine oder mehrere Anwendungen gewähren. Aktiviere jedoch nicht die Option Bei Benutzererstellung gewähren. Erstelle stattdessen eine Sicherheitsanbieter-Gruppe, ordne sie der internen Sicherheitsgruppe zu und aktiviere die Option Bei Identitätserstellung gewähren. Mit dieser Technik erhalten nur Benutzer, die vom Sicherheitsanbieter bereitgestellt werden, automatisch Berechtigungen.
• Wenn der Sicherheitsanbieter Gruppenmitgliedschaften bereitstellt, kann die Autorisierung vom Identitätsanbieter (IdP) zu App Builder weitergeleitet werden. App Builder extrahiert die Gruppenmitgliedschaftsansprüche aus dem Sicherheitstoken und registriert diese Gruppen als Sicherheitsanbieter-Gruppen. Administratoren müssen eine oder mehrere Sicherheitsanbieter-Gruppen zu internen Sicherheitsgruppen zuordnen. Diese Option erfordert mehr Zeit für die Einrichtung und kann eine zusätzliche Konfiguration beim Identitätsanbieter (IdP) erforderlich machen. Nach der Konfiguration wird App Builder jedoch die vom IdP bereitgestellten Gruppenmitgliedschaften berücksichtigen.

Die Optionen 3 und 4 schließen sich gegenseitig aus: Entweder verwaltet App Builder oder der Sicherheitsanbieter die Sicherheitsanbieter-Gruppen – nicht beide. Sie können jedoch beide mit der Option Bei Benutzererstellung gewähren kombiniert werden.