Users Guide

将 OpenID Connect 提供程序添加到 OpenManage Enterprise
添加、启用和注册 OpenID Connect 提供程序（Keycloak 或 PingFederate）可允许授权客户端登录 OpenManage Enterprise。这将生成
客户端 ID。
要将 OpenID Connect 提供程序添加到 OpenManage Enterprise，请转至应用程序设置 > 用户 > OpenID Connect 提供程序页面并执
行以下操作：
注: 只能添加最多四个 OpenID Connect 提供程序客户端。
1. 单击添加以激活“添加新的 OpenID Connect 提供程序”页面。
2. 在相应的字段中填入以下信息：
a. 名称 - OIDC 客户端的名称。
b. 查找 URI - OIDC 提供程序的统一资源标识符
c. 验证类型 - 选择访问令牌必须用来访问设备的以下方法之一：
i. 初始访问令牌 - 提供初始访问令牌
ii. 用户名和密码 - 提供用户名和密码
d. （可选）证书验证复选框 - 您可以选中该复选框然后上传 OIDC 提供程序的证书，方法是单击浏览并找到证书，或者将证书拖
放到虚线框中。
e. （可选）测试连接 - 单击测试 URI 和 SSL 连接以测试与 OpenID Connect 提供程序的连接。
注: 测试连接不依赖于用户名和密码或初始访问令牌详细信息，因为它只检查提供的查找 URI 的有效性。
f. （可选）“启用”复选框 - 您可以选中该复选框以允许授权客户端访问令牌登录到设备。
3. 单击完成。
在“应用程序设置 > 用户 > OpenID Connect 提供程序”页面中列出了新添加的 OpenID Connect 提供程序，并且客户端 ID 可以位于
右侧窗格中。
后续步骤：
在 PingFederate 中配置 OpenID Connect 提供程序策略，以提供基于角色的 OpenManage Enterprise 访问权限 页面上的 134
在 Keycloak 中配置 OpenID Connect 提供程序策略，以提供基于角色的 OpenManage Enterprise 访问权限 页面上的 135
在 PingFederate 中配置 OpenID Connect 提供程序策略，以提供基于角
色的 OpenManage Enterprise 访问权限
要启用使用 PingFederate 的 OpenManage Enterprise OpenID Connect 登录，您必须添加范围 dxcua（用户验证的戴尔扩展声明）并
将其映射到客户端 ID，然后按如下所示定义用户权限：
警告: 在向 OIDC 提供程序 PingFederate (PingIdentity) 重新注册客户端时，用户角色和范围会重置为“默认值”。此问题可
能会将非管理员角色（DM 与查看者）的权限和范围重置为管理员的权限和范围。在设备升级、网络配置更改或 SSL 证书更改
的情况下，将触发向 OIDC 提供程序重新注册设备控制台。
要在上述任何重新注册事件后避免出现安全问题，管理员必须在 PingFederate 站点上重新配置所有 OpenManage Enterprise
客户端 ID。此外，我们强烈建议使用 Pingfederate 仅为管理员用户创建客户端 ID，直到此问题得到解决为止。
注:
● 默认的分配算法应为 RS256（使用 SHA-256 的 RSA 签名）。
1. 在 OAuth 设置中的“范围管理”下添加名为 dxcua 的“独占”或“默认”范围。
2. 按照以下步骤映射在 OpenID Connect 策略 > 管理策略中创建的范围：
a. 启用在令牌中包括用户信息
b. 在属性范围中，添加范围和属性值为 dxcua。
c. 在“合同履行”中，添加 dxcua 并选择类型为“文本”。然后，使用以下属性之一定义 OpenManage Enterprise OpenID
Connect 提供程序登录的用户权限：
i. 管理员：dxcua : [{“Role": "AD"}]
ii. 设备管理者：dxcua : [{“Role": "DM"}]
注: 要将设备管理者的访问权限限制为选择设备组，假设 G1 和 G2，请在 OpenManage Enterprise 中使用 dxcua :
[{“Role": "DM", "Entity":"G1, G2"}]
iii. 查看者：dxcua : [{“Role": "VE"}]
134 管理 OpenManage Enterprise 设备设置