Gestire i provider di identità

Configura un provider di identità (IdP) personalizzato per abilitare il single sign-on (SSO) nella tua organizzazione. Quando configuri un IdP, Bob ti reindirizza ad esso per l'autenticazione quando accedi a IBM Bob dall'IDE, da Bob Shell e da Bob Web.

Puoi configurare provider di identità SAML e OpenID Connect (OIDC) con Bob. Usa il protocollo che corrisponde alla piattaforma di identità della tua organizzazione.

IBM Bob è compatibile con i seguenti protocolli SSO:

Sebbene tu possa usare altri provider OIDC che soddisfano i requisiti di configurazione e token, le seguenti piattaforme sono verificate:

L'aggiunta di un IdP è un processo in due fasi. Prima configuri l'IdP e lo salvi. Poi aggiungi i domini email che lo utilizzano.

SAML richiede i seguenti dettagli di configurazione:

Campi identity provider — ottienili dal tuo IdP:

Campi service provider — usa i file generati nel passaggio precedente:

Campi opzionali:

Nella sezione Attribute mapping, associa gli attributi utente dell'IdP ai campi utente di IBM Bob. Il formato di mappatura è nome attributo Bob → nome attributo o URI dell'IdP. Controlla la configurazione del tuo IdP per i nomi degli attributi corretti.

Prima che un admin dell'istanza Bob possa configurare un record IdP OIDC in Bob, l'amministratore IdP deve creare un'applicazione OIDC (client) nel provider di identità. I valori prodotti in questo passaggio sono quelli che l'admin dell'istanza Bob inserisce quando aggiunge l'IdP in Bob.

Crea un'applicazione web (lato server / client riservato) nel tuo provider di identità e abilita il tipo di concessione Authorization Code. Bob utilizza esclusivamente il flusso Authorization Code — non selezionare Implicit, Device Code o Client Credentials.

Registra il seguente URL di callback nell'applicazione OIDC. La maggior parte dei provider esegue una corrispondenza esatta della stringa, quindi copiala esattamente:

Bob richiede che un refresh_token sia presente in ogni risposta di scambio del codice di autorizzazione. Se il tuo provider emette refresh token tramite un meccanismo diverso (ad esempio, uno scope specifico del provider o in modo incondizionato a ogni scambio di codice), configuralo di conseguenza — ma assicurati che il client sia autorizzato a ricevere refresh token. Se non viene restituito alcun refresh_token, l'accesso viene interrotto.

Configura il metodo di autenticazione al token endpoint dell'applicazione OIDC su client_secret_post. Bob invia client_id e client_secret come parametri nel corpo del form in ogni richiesta di token. client_secret_basic, private_key_jwt e none non sono accettati.

Una volta creata l'applicazione client, consegna i seguenti valori all'admin dell'istanza Bob:

Puoi usare la scoperta del provider OIDC. Clicca sul pulsante Retrieve configuration per popolare automaticamente i campi endpoint dal documento .well-known/openid-configuration del tuo provider, oppure puoi inserire manualmente ogni URL di endpoint.

OIDC richiede i seguenti dettagli di configurazione:

OIDC non utilizza Attribute mapping. Bob legge l'email dell'utente direttamente dal claim email nell'id_token.

Dopo aver salvato l'IdP, aggiungi i domini email che devono utilizzarlo per l'autenticazione.

IBM Bob richiede che tu verifichi che la tua organizzazione sia proprietaria di ogni dominio prima che il SSO venga applicato. La verifica avviene aggiungendo un record TXT DNS al dominio.

Lo stato di verifica del dominio si aggiorna a Verified quando IBM Bob rileva correttamente il record TXT. Le modifiche DNS possono richiedere del tempo per propagarsi.