Vorbereiten der IdP für Gruppen mit IdP Rollen

Voraussetzungen

• Für den IdP verwalteten Zugriff müssen bereits SAML SSO auf Domänenebene eingerichtet sein. Um fortzufahren, muss Ihr IdP System über eine bestehende SAML-Integration mit Smartsheet verfügen.
• Stellen Sie sicher, dass Ihr IdP System ein Benutzerprofilattribut mit Benutzerrollendaten enthält. Der Datentyp des Profilattributs sollte ein String oder ein String-Array sein.

Hinweise

• Werte im Benutzerprofilattribut dürfen keine 4-Byte-UTF-8-Zeichen enthalten, zu denen auch Emojis und Zeichen aus bestimmten Sprachen gehören. Wenn diese Zeichen in den Rollenwerten vorhanden sind, tritt ein Fehler auf, und der Benutzer kann sich nicht bei Smartsheet anmelden.
• Werte, die keine alphanumerischen Zeichen enthalten (mit Ausnahme der Zeichen " .", " - ", " * " und "_"), werden auf der Smartsheet Seite URL-codiert.
• Die Assertion kann mehrere SAML-Attributwerte aufweisen, wenn das Attribut der Benutzerprofilrolle vom Typ "Zeichenfolgenarray" ist.
  • Auf der Smartsheet Seite werden die Werte in eine durch Trennzeichen getrennte Zeichenfolge mit einschließenden Klammern ( [ ] ) reduziert, die bis zu 2048 Zeichen lang sein kann.
  • Wenn die maximale Länge überschritten wird, tritt bei der Anmeldung bei Smartsheet ein Fehler auf. Beachten Sie, dass URL-Formularcodierungszeichen zusätzliche Leerzeichen belegen.

Okta

1. Gehen Sie in der Okta-Admin-Konsole zu Anwendungen > Anwendungen, suchen Sie die vorhandene Okta-Integration mit Smartsheet und öffnen Sie sie.

   Brandfolder Image

   
2. Navigieren Sie auf der Registerkarte Allgemein zur Karte SAML Einstellungen und wählen Sie Bearbeiten aus.

3. Wählen Sie Weiter aus.

   Vorhandene App-Eigenschaften werden automatisch ausgefüllt.

   Brandfolder Image

   

4. Wechseln Sie unten zum Abschnitt Attributanweisungen (optional), und wählen Sie Weitere hinzufügen aus.

   Brandfolder Image

   
5. Geben Sie die folgenden Werte an:
   • Name: http://schemas.smartsheet.com/ws/2022/03/identity/claims/idproles
   • Namensformat: URI-Referenz
   • Wert: Verwenden Sie das Profilattribut mit Benutzerrollen. Das Profilattribut sollte "string" oder "string array" als Datentyp haben

6. Wählen Sie Vorschau der SAML Assertion aus. Das folgende Attributelement wird angezeigt:

7. Wählen Sie Next > Finish aus.

Microsoft Entra ID (Azure)

1. Wechseln Sie in Azure Portal zu Microsoft Entra ID > > Enterprise Anwendungen verwalten, und wählen Sie die vorhandene Smartsheet Enterprise Anwendung aus, mit der sich Ihre Benutzer über SSO auf Domänenebene bei Smartsheet anmelden können.
2. Wechseln Sie zu Verwalten > einmaliges Anmelden und wählen Sie bei Bedarf SAML-basierte Anmeldung aus, um die Seite Einmaliges Anmelden mit SAML einrichten anzuzeigen.
3. Wechseln Sie zu Attribute und Ansprüche > Bearbeiten > Fügen Sie einen neuen Anspruch hinzu und geben Sie die folgenden Werte an:
   • Name: idproles
   • Namensraum: http://schemas.smartsheet.com/ws/2022/03/identity/claims
   • Namensformat: URI
   • Source (Quelle): Attribut
   • Quellenattribut: Wählen Sie das Quellattribut für Ihre Benutzer aus, das die Rollen enthält.
   • Erweiterte SAML Anspruchsoptionen: Aktivieren Sie das Kontrollkästchen Anspruch in SAML-Token zusätzlich zu JWT-Token verfügbar machen
4. Wählen Sie Speichern aus.
5. Wenn Sie zur Seite "Single Sign-On mit SAML einrichten" zurückkehren, sollte der neu hinzugefügte Anspruch in der Liste angezeigt werden.

Andere IdPs

1. Melden Sie sich in der IdP Admin-Konsole an und suchen Sie die vorhandene Smartsheet Anwendung.
2. Suchen Sie den Ort, an dem benutzerdefinierte Attributzuordnungen definiert sind, und konfigurieren Sie Folgendes:
   • Attributname: http://schemas.smartsheet.com/ws/2022/03/identity/claims/idproles

   • Quellenattribut: Wählen Sie das Quellattribut aus, das die Rollen enthält. 

     Es kann mehrere Attributwerte geben, wenn Benutzer über mehrere Rollen verfügen.

3. Testen Sie die Konfiguration, um zu überprüfen, ob die IdP solche Tests unterstützt. Die resultierende SAML Assertion sollte in etwa wie im folgenden Beispiel aussehen:

   Da verschiedene IdPs benutzerdefinierte Attribute unterschiedlich handhaben können, dient dies nur als Referenz.

 Rolle 1  Rolle 2  Rolle 3