OIDC Konfigurationsparameter

Dieser Artikel enthält detaillierte Informationen zu OIDC-Konfigurationsparametern.

Anwendungen

Sie können GenericOidcLogin für mehrere Grassfish Anwendungen konfigurieren, z. B. die IXM Plattform oder MobileApp.

Jede Anwendung verwendet ihre eigene Login-URL: https://server/path/to/GenericOidcLogin/{APPLICATIONKEY}/login

Beispiele: https://server/GenericOidcLogin/CMS/login oder https://server/GenericOidcLogin/MobileApp/login

• Application:{APPLICATIONKEY}:LoginSuccessRedirectUrl Erforderlich
  Standard: string.Empty
  Der Benutzer wird nach erfolgreicher Anmeldung zu dieser URL weitergeleitet. Die URL muss den Platzhalter @@sh@@ enthalten.
  Beispiel: https://<IXM-Platform-URL>/gv2/gf/GFWebHtml/cms/index.html#/external?lang=en&amp;cid=@@customerId@@&amp;autologin=bysession&amp;sh=@@sh@@&amp;userID=@@userId@@&amp;customerName=@@customerName@@

• Application:{APPLICATIONKEY}:LoginFailedRedirectUrl Optional
  Standard: /LoginFailed
  Der Benutzer wird zu dieser URL umgeleitet, wenn die Anmeldung fehlgeschlagen ist.

  Der Abfrageparameter error gibt den Fehlercode des Fehlers an, der die fehlgeschlagene Anmeldung verursacht hat. Die folgenden Standard-OIDC-Fehlercodes sind möglich: access_denied, login_failed, general_error

  Der Abfrageparameter error_description gibt eine Beschreibung der Ursache für die fehlgeschlagene Anmeldung an.

  Beispiel: /LoginFailed?error=access_denied&error_description=User not found

Kundeneinstellungen

Sie müssen entweder CustomerCode oder Claims.CustomerCode festlegen. Die Anwendung startet nicht, wenn beide oder keines von beiden festgelegt ist.

• CustomerCode Optional
  Standard: string.Empty

  Konstanter CustomerCode-Wert für alle Anmeldungen (Single-Customer-Setup).

• Claims.CustomerCode Optional
  Standard: string.Empty
  Der Kundencode wird aus diesem Anspruch gelesen (Multi-Customer-Setup).

Benutzereinstellungen

Sie müssen entweder Claims.ExternalUserId oder GrassfishCustomUserIdAttribute festlegen. Die Anwendung startet nicht, wenn beide oder keines von beiden festgelegt ist.

• CreateUserIfNotExists Optional
  Standard: false
  Wenn dies auf true gesetzt ist, wird ein neuer Benutzer erstellt, wenn kein vorhandener Benutzer gefunden werden kann.

• Claims.ExternalUserId Optional
  Standard: sub
  Der Anspruch, der die externe Benutzer-ID enthält.

• GrassfishCustomUserIdAttribute Optional
  Standard: string.Empty
  Anstelle des Benutzernamens kann eine benutzerdefinierte Benutzereigenschaft verwendet werden, um den Grassfish Benutzer zu identifizieren. Beachten Sie, dass CreateUserIfNotExists in Kombination mit dieser Einstellung nicht funktioniert.

• Claims.Email Optional
  Standard: string.Empty
  Der Anspruch, der die Email-Adresse des Benutzers enthält.

• Claims.FirstName Optional
  Standard: string.Empty
  Der Anspruch, der den Vornamen des Benutzers enthält.

• Claims.LastName Optional
  Standard: string.Empty
  Der Anspruch, der den Nachnamen des Benutzers enthält.

Berechtigungsgruppeneinstellungen

Sie müssen entweder Claims.PermissionGroup oder DefaultPermissionGroup festlegen, wenn CreateUserIfNotExists True ist. Die Anwendung wird nicht gestartet, wenn beide festgelegt sind.

• UpdatePermissionGroupForExistingUsers Optional
  Standard: false
  Wenn dies auf true gesetzt ist, wird die Berechtigungsgruppe bei jedem Login festgelegt.

• Claims.PermissionGroup Optional
  Standard: string.Empty
  Der Anspruch, der den Namen der Berechtigungsgruppe enthält.

• DefaultPermissionGroup Optional
  Standard: string.Empty
  Ein konstanter Berechtigungsgruppenname, der allen neuen Benutzern zugewiesen wird.

Benutzergruppeneinstellungen

Sie müssen entweder Claims.UserGroups oder DefaultUserGroup festlegen, wenn CreateUserIfNotExists True ist. Die Anwendung startet nicht, wenn beide festgelegt sind.

• UpdateUserGroupsForExistingUsers Optional
  Standard: false
  Wenn dies auf true gesetzt ist, werden die Benutzergruppen bei jeder Anmeldung synchronisiert.

• Claims.UserGroups Optional
  Standard: string.Empty
  Der Anspruch, der mindestens einen Benutzergruppennamen enthält.

• DefaultUserGroup Optional
  Standard: string.Empty
  Ein konstanter Benutzergruppenname, der allen neuen Benutzern zugewiesen wird.

• UserGroupDelimiter Optional
  Standard: string.Empty
  Mehrere Benutzergruppennamen können entweder in DefaultUserGroup oder Claims.UserGroups angegeben werden. Sie müssen durch den UserGroupDelimiter getrennt werden.

OpenID Connect-Einstellungen

• OpenId:ConfigurationEndpoint Erforderlich
  Standard: string.Empty
  Konfigurationsdatei des OpenID-Providers, zum Beispiel: https://openidprovider/.well-known/openid-configuration

• OpenId:ClientId Erforderlich
  Standard: string.Empty
  Beim Identitätsanbieter gültige Client ID.

• OpenId:ClientSecret Erforderlich
  Standard: string.Empty
  Beim Identitätsanbieter gültiges Client Secret.

• OpenId:Scope Optional
  Standard: openid profile
  OpenID Connect-Anfragen müssen den OpenID Scope enthalten. Andernfalls ist das Verhalten völlig undefiniert. Andere Bereichswerte können vorhanden sein.

• OpenId:ResponseType Optional
  Standard: code
  Wert des OAuth 2.0-Antworttyps, der den zu verwendenden Autorisierungsverarbeitungsfluss bestimmt, einschließlich der von den Endpunkten zurückgegebenen Parameter.

• OpenId:UseUserInfoEndpoint Optional
  Standard: false
  Normalerweise enthält der vom TokenEndpoint zurückgegebene IdToken alle notwendigen Ansprüche für die Anmeldung. Ist dies nicht der Fall, muss eine zusätzliche Anfrage gestellt werden, um die vollständigen Benutzerinformationen vom UserInfoEndpoint zu laden.

Validierungseinstellungen

• Validation:ValidAudience Erforderlich
  Standard: string.Empty
  Stellt eine gültige Zielgruppe dar, die zum Vergleich mit der Zielgruppe des Tokens verwendet wird. Sie ist normalerweise identisch mit der ClientId.

Weitere zusätzliche Validierungseinstellungen finden Sie unter: https://docs.microsoft.com/en-us/dotnet/api/microsoft.identitymodel.tokens.tokenvalidationparameters

Logeinstellungen

• LogOpenIdProviderCommunication Optional
  Standard: false
  Protokolliert die an den OpenID-Anbieter gesendeten Anfragen. Dies sollte nur zur Fehlerbehebung verwendet werden, da die Anfragen vertrauliche Informationen enthalten können.