authorization - Okta グループの属性

Question

ID を外部で管理するために Okta に接続している 2 つのサービス プロバイダーがあります。次のことを実現するために Okta を構成する方法を考えていただけますか。

1. 属性をユーザーに直接関連付けるのではなく、グループに関連付けます。グループ内のユーザーは、これらの属性を継承します。
2. ユーザーをアプリケーションに直接関連付けるのではなく、グループをアプリケーションに関連付けます。

私の最終目標は、Okta を活用して各サービス プロバイダーのロール ストアを管理できるようにすることです。Okta からの SAML アサーションは、サービス プロバイダーが決定する権限スキームに基づいて、個々のサービス プロバイダーのアサーションにマッピングできると期待しています。

Answer 1

1) については、属性をグループに直接関連付けることはできません。しかし、ここには回り道があるかもしれません。

ユーザーをグループのメンバーにすることができます。属性マッピングを定義するプロファイル エディターで、グループ関数に基づく条件を使用して、それに応じて属性値を設定します。製品内でサポートされている式言語の詳細については、http://developer.okta.com/docs/api/getting_started/okta_expression_lang.htmlを参照してください。

もう 1 つの方法は、API を使用してユーザー属性を設定することです。ロジックを Okta の外部で実装します。

2) グループ オブジェクトの下にある [アプリの管理] オプションを使用して、アプリをグループに関連付けることができます。そうすることで、アプリの割り当ては、直接の割り当てではなく、グループ メンバーシップに結び付けられます。