authorization - Okta 组属性

Question

我有两个服务提供商连接到 Okta，以便在外部管理身份。你能想出一种方法来配置 Okta 以完成以下任务：

1. 将属性与组关联，而不是直接与用户关联。然后组内的用户将继承这些属性。
2. 将组与应用程序相关联，而不是直接将用户与应用程序相关联。

我的最终目标是能够利用 Okta 来管理每个服务提供商的角色存储。我希望来自 Okta 的 SAML 断言能够根据服务提供商确定的权限方案映射到各个服务提供商的断言。

Answer 1

对于 1)，您不能直接将属性与组关联。但这里可能有一个迂回的方法。

您可以将用户作为组的成员。在定义属性映射的配置文件编辑器中，使用基于组函数的条件来相应地设置属性值。请参阅此处 - http://developer.okta.com/docs/api/getting_started/okta_expression_lang.html，了解有关我们在产品中支持的表达式语言的更多详细信息。

另一种方法是使用我们的 API 来设置用户属性——在 Okta 之外实现逻辑。

2）您可以使用组对象下的“管理应用程序”选项将应用程序与组关联。这样做时，应用程序分配与组成员身份相关联，而不是通过直接分配。