检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
用户菜单下的用户属性定义中修改必填属性。 password 否 String 密码,需要满足企业定义的格式。 mobile 是 String 手机号,企业内唯一。可在管理门户界面,用户菜单下的用户属性定义中修改必填属性 org_code 否 String 主组织的组织编码,填写
用户门户的默认语言,可以在配置的可选语言中任选一种。 验证码配置 验证码长度 用户门户进行手机验证时,验证码的长度,可在4位、6位中任选一个。 过期时间 用户门户进行手机验证时,验证码的过期时间,默认,可在3~15min之间设置。 单击“保存”全局参数设置完成。 用户门户Web端页面 管理员可以定制用
记录。 对于同步失败的事件的处理: 可以查看响应信息并在解决问题后,单击操作列的“重试”再次同步。 可以通过“一键重试”快速执行同步。当父机构的同步事件重试成功后,会同时触发执行其下的子机构和账号的同步事件。 全量同步 当下游应用系统需与OneAccess的数据保持全量一致时,可
签名验签说明 当OneAccess同步数据至企业应用时,需要企业应用对该同步事件进行识别并确认,确保事件来源的安全性和可靠性,从而保证数据在一个安全的环境中进行交互。 签名校验/加解密术语 表1 术语 术语 说明 signature 消息签名,用于验证请求是否来自OneAcces
当应用侧权限配置为基于角色的应用权限管理时,只可按应用侧角色授权,选择需要授予角色的账号,单击“确定”,完成基于角色的授权。基于角色的应用权限管理请参考基于角色的应用权限管理。 图2 按应用侧角色授权 当应用侧权限配置为基于角色、权限、资源的应用权限管理时,可选择按应用侧角色授权、按应用侧权限授
Agent的部署包。 cloudBridge.sh 手动启动Agent的文件。 config Agent配置文件(application.yml)的存放目录。 connector LDAP连接器的部署包,暂不关注。 encrypt.sh 加密文件,用来加密AD主体账号的密码。 log
概述 为方便企业用户的认证登录,OneAccess平台支持配置OIDC协议作为认证源,用户可以通过OIDC协议认证登录各应用系统,为企业用户带来更简易便捷的登录方式和更好的用户体验。 OIDC是OpenID Connect的简称,是一个基于OAuth 2.0协议的身份认证标准协议。
可以精确到应用的具体角色、权限、资源的一种细粒度授权机制。该机制能够满足企业对权限最小化的安全管控要求。例如,对于应用的数据资源,可以控制部分用户对其进行指定的操作。 当对角色授予树形结构的资源权限时,资源的父级与子级不存在父子关系,可独立授权。 登录OneAccess管理门户。
概述 同步组织数据的前提是开启应用机构,可参考7。 本章节的业务事件的消息示例前提是企业应用开启签名和数据加密。 父主题: API
sumerService”的值,即当OneAccess认证成功后响应返回的地址 * Name ID 用户在应用系统中的账号名对应字段,可以选择用户的属性或者对应的账号属性,此字段的值将作为断言中的subject。 NameID Format SP支持的用户名称标识格式。对应SP元
Management,简称IAM)是华为云提供权限管理的基础服务,可以帮助您安全地控制华为云服务和资源的访问权限。IAM无需付费即可使用。 IAM用户是账号在IAM中创建的用户,是云服务的使用人员,具有独立的身份凭证(密码和访问密钥),根据账号授予的权限使用资源。 如果您需要通过OneAcc
对象模型是OneAccess的数据同步至下游应用的基础,包括应用账号模型和应用机构模型。 在开启同步配置后,OneAccess已定义了账号名、姓名、应用机构等常规的内置属性,如需同步更多的属性,可通过在对象模型处添加属性并配置映射实现。同步时,需保持添加的属性名与应用的属性名一致。除此之外
实例管理 本文介绍华为云账号对购买的OneAccess实例的操作指导。华为云账号可使用OneAccess的功能,子账号或委托账号需要实例授权后才能使用OneAccess的功能 新增授权 通过新增授权,您可以授权IAM用户访问OneAccess实例的管理门户进行管理。 OneAcce
用户在应用系统中的账号名对应字段,可以选择用户的属性或者对应的账号属性,此字段的值将作为断言中的subject。 NameID Format 是 SP支持的用户名称标识格式。对应SP元数据文件中“NameIDFormat”的值。 Audience URI 否 允许使用SAML断言的资源,默认和SP Entity
切换到“应用授权”页签,修改应用调用该API的权限。如需添加应用请参考添加应用。 授权应用后,需在应用中,授权具体的API,可参考4。 切换到“权限信息”页签,单击“添加”,添加权限代码(权限代码可选择于内置API中的权限代码,或是外部的API的权限代码)。 切换到“权限信息”页签,查
用户在使用OneAccess实例时,账户的可用额度小于待结算的账单,即被判定为账户欠费。欠费后,可能会影响OneAccess实例的正常运行,请及时充值。 欠费影响 对于包年/包月OneAccess实例,用户已经预先支付了资源费用,因此在账户出现欠费的情况下,已有的包年/包月OneAcc
企业对权限最小化的安全管控要求。 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。多数细粒度策略以API接口为粒度进行权限拆分,权限的最小粒度为API授权项(
导入/导出”,默认进入“用户导入”页面。 导入用户的前提是用户所属的组织已存在。如需添加少量组织,请参考组织。如需批量添加组织,请参考应用机构导入。 单击“下载导入模板”。 打开下载的Excel文档,编辑需要上传的用户信息并保存。 当导入的用户为一人多组织用户时,则组织编码输入多个组织,以英文逗号“
认证协议 OAuth2.0 ClientId 配置1中获取的ClientId。 ClientSecret 配置1中获取的ClientSecret。 身份认证地址 配置2中获取的OneAccess的认证授权地址。 回调地址 官网提供的回调地址,如:${BI 服务地址}/standard-oauth2/authenticate
回绑定的地址。 授权码模式 默认开启。是使用最广泛的一种认证模式,适用于前后端分离的应用。具体的授权码模式可参考概述。 隐式授权模式 默认关闭。适用于没有后端的应用,与授权码模式相比,省略了获取授权码code环节。 TOKEN签名算法 默认为RS256,对Token签名的算法,可