Amministrazione di VMware Identity Manager. MAGGIO 2018 VMware Identity Manager

Transcript

1 Amministrazione di VMware Identity Manager MAGGIO 2018 VMware Identity Manager

2 È possibile consultare la documentazione tecnica più aggiornata sul sito Web all'indirizo: Inoltrare eventuali commenti sulla documentazione al seguente indirizzo: VMware, Inc Hillview Ave. Palo Alto, CA VMware, Inc. P.le Biancamano Milano tel: fax: Copyright VMware Inc. Tutti i diritti sono riservati. Informazioni sul copyright e sui marchi. VMware, Inc. 2

3 Contenuti Informazioni su 5 1 Operazioni nella VMware Identity Manager console di amministrazione 6 Navigazione nella console di amministrazione 6 Panoramica delle impostazioni di Gestione identità e accessi 7 2 Gestione dei ruoli di amministratore 11 Informazioni sui ruoli di accesso basati sui ruoli 11 Aggiunta di un ruolo di amministratore 14 Assegna utenti e gruppi a un ruolo di amministratore 15 Rimozione dei ruoli amministratore 16 Esempio 1. Creazione di un ruolo per gestire permessi e applicazioni di Office Esempio 2. Creazione di un ruolo per la gestione delle reimpostazioni delle password in una directory locale 19 3 Utilizzo delle directory locali 22 Creazione di una directory locale 24 Modifica delle impostazioni della directory locale 29 Eliminazione di una directory locale 30 Configurazione di un metodo di autenticazione per gli utenti amministratori di sistema 31 4 Provisioning utente Just-in-Time 32 Informazioni sul provisioning utente Just-in-Time 32 Preparazione per il provisioning Just-in-Time 33 Configurazione del provisioning utente Just-in-Time 35 Requisiti per le asserzioni SAML 36 Disattivazione del provisioning utente Just-in-Time 37 Eliminazione di una directory Just-in-Time 37 Messaggi di errore 38 5 Gestione dell'esperienza di accesso utente 40 Selezione di un dominio durante il login 40 Esperienza di accesso mediante identificatore univoco 41 Configurazione dell'accesso basato su identificatore univoco 41 Richiesta delle condizioni d'uso per accedere al catalogo di Workspace ONE 42 6 Configurazione dell'autenticazione utente in VMware Identity Manager 45 Configurazione di Kerberos per VMware Identity Manager 47 VMware, Inc. 3

4 Configurazione di SecurID per VMware Identity Manager 51 Configurazione di RADIUS per VMware Identity Manager 54 Configurazione dell'autenticazione adattiva RSA in VMware Identity Manager 57 Configurazione di un certificato o di una scheda smart card da utilizzare con VMware Identity Manager 60 Configurazione di VMware Verify per l'autenticazione a due fattori 63 Utilizzo dei provider di identità integrati 66 Abilitazione di Out of Box Experience per Workspace ONE sui dispositivi Dell Windows Configurazione di provider di identità Workspace aggiuntivi 80 Configurazione di un'istanza del provider di identità di terze parti per l'autenticazione degli utenti 81 Gestione dei metodi di autenticazione da applicare agli utenti 83 7 Gestione dei criteri di accesso 88 Configurazione delle impostazioni dei criteri di accesso 88 Gestione dei criteri specifici delle applicazioni Web e desktop 91 Aggiunta di un criterio specifico di un'applicazione desktop o Web 93 Configurazione di un messaggio di errore di accesso negato personalizzato 94 Modifica del criterio di accesso predefinito 94 Abilitazione del controllo di conformità per i dispositivi gestiti da AirWatch 95 Attivazione dei cookie permanenti sui dispositivi mobili 97 8 Gestione di gruppi e utenti 99 Gestione degli utenti 100 Gestione dei gruppi 102 Creazione di utenti locali 107 Gestione delle password 110 Sincronizzazione della directory per correggere le informazioni del dominio Gestione del catalogo 113 Raggruppamento di risorse in categorie 113 Gestione delle impostazioni nel catalogo Utilizzo del dashboard della console di amministrazione 129 Monitoraggio di utenti e utilizzo delle risorse dal dashboard 129 Visualizzazione di report Branding personalizzato per i servizi VMware Identity Manager 133 Personalizzazione del branding nel servizio VMware Identity Manager 133 Personalizzazione del branding per il Portale utente 134 Branding guidato personalizzato di Workspace ONE per Windows Personalizzazione del branding per l'applicazione VMware Verify 137 VMware, Inc. 4

5 Informazioni su Amministrazione di VMware Identity Manager contiene informazioni e istruzioni sull'uso e la gestione dei servizi di VMware Identity Manager. VMware Identity Manager consente di configurare e gestire metodi di autenticazione e criteri di accesso, personalizzare un catalogo di risorse per le applicazioni dell'organizzazione, nonché fornire a tali risorse un accesso utente gestito e sicuro a più dispositivi. Tali risorse includono applicazioni Web, applicazioni basate su Citrix, nonché pool di applicazioni e desktop di Horizon. Destinatari Queste informazioni sono destinate a chiunque intenda configurare e amministrare VMware Identity Manager. Le informazioni sono indirizzate ad amministratori di sistemi Windows o Linux esperti che hanno già familiarità con tecnologia delle macchine virtuali, gestione delle identità, Kerberos e servizi di directory. Se si intende implementare tali funzionalità, è utile conoscere altre tecnologie come VMware Horizon 7, Horizon Cloud e la virtualizzazione dell'applicazione Citrix, nonché i metodi di autenticazione, come RSA SecurID. VMware, Inc. 5

6 Operazioni nella VMware Identity Manager console di amministrazione 1 Le attività principali che è possibile eseguire dalla console di amministrazione sono la gestione dei criteri di autenticazione e accesso degli utenti e la concessione di permessi agli utenti per le risorse. Queste attività principali sono supportate da altre attività che consentono un controllo dettagliato sugli utenti o i gruppi che sono autorizzati per determinate risorse in determinate condizioni. Gli utenti finali possono accedere al portale VMware Workspace ONE dai loro desktop o dispositivi mobili per accedere alle risorse di lavoro, tra cui desktop, browser, documenti aziendali condivisi e diversi tipi di applicazioni per cui sono autorizzati. Questo capitolo include i seguenti argomenti: Navigazione nella console di amministrazione Panoramica delle impostazioni di Gestione identità e accessi Navigazione nella console di amministrazione Le attività nella console di gestione sono organizzate in schede. Scheda Dashboard Utenti e gruppi Catalogo Descrizione Il dashboard di coinvolgimento dell'utente può essere utilizzato per monitorare l'attività degli utenti e le risorse utilizzate. Il dashboard visualizza informazioni su quali utenti hanno effettuato l'accesso, quali applicazioni sono in uso e con quale frequenza vengono utilizzate. È possibile creare report per tenere traccia delle attività di utenti e gruppi, dell'utilizzo di risorse e dispositivi, nonché delle verifiche degli eventi per utente. Nella scheda Utenti e gruppi è possibile gestire e monitorare utenti e gruppi importati da Active Directory o dalla directory LDAP, creare utenti e gruppi locali e fornire permessi a utenti e gruppi per relativamente alle risorse. È possibile configurare i criteri password per gli utenti locali. Il Catalogo è il repository per tutte le risorse per le quali è possibile fornire permessi agli utenti. Nella scheda Catalogo è possibile aggiungere applicazioni Web e gestire le risorse esistenti. Nella pagina Raccolta app virtuali è possibile gestire le integrazioni di applicazioni e desktop Horizon, Citrix, Horizon Cloud e ThinApp. È possibile creare una nuova applicazione, raggruppare le applicazioni in categorie e accedere alle informazioni su ogni risorsa. Nella pagina Impostazioni catalogo è possibile scaricare certificati SAML, gestire configurazioni delle risorse e personalizzare l'aspetto del portale utente. VMware, Inc. 6

7 Scheda Gestione identità e accessi Ruoli Descrizione Nella scheda Gestione identità e accessi è possibile impostare il servizio connettore, configurare l'integrazione di AirWatch, impostare metodi di autenticazione e applicare branding personalizzato alla pagina di accesso e alla console di gestione. È possibile gestire impostazioni di directory, provider di identità e criteri di accesso. È inoltre possibile configurare provider di identità di terze parti. Nella scheda Ruoli, è possibile gestire i ruoli di amministratore. Gli utenti possono essere assegnati come amministratori ai tre ruoli amministratore predefiniti e possono anche creare ruoli amministratore personalizzati che assegnare permessi limitati a specifici servizi nella console di amministrazione. Browser Web supportati per l'accesso alla console di amministrazione La console di amministrazione di VMware Identity Manager è un'applicazione basata su Web utilizzata per gestire il tenant. È possibile accedere a console di amministrazione dalle versioni più recenti di Google Chrome, Mozilla Firefox, Safari, Microsoft Edge e Internet Explorer 11. Nota: In Internet Explorer 11, è necessario attivare JavaScript e permettere i cookie per l'autenticazione tramite VMware Identity Manager. VMware Identity Manager Workspace ONE per gli utenti finali Gli utenti finali possono accedere alle risorse per cui sono autorizzati dal loro portale Workspace ONE. Workspace ONE è l'interfaccia predefinita utilizzata quando gli utenti accedono e alle risorse per cui sono autorizzati e le usano con un browser. Quando AirWatch è integrato con VMware Identity Manager, gli utenti finali possono visualizzare tutte le app per cui sono autorizzati. Le applicazioni native sviluppate internamente o le app disponibili pubblicamente negli App Store possono essere rese disponibili per gli utenti finali dal portale Workspace ONE. Panoramica delle impostazioni di Gestione identità e accessi Dalla scheda Gestione identità e accessi della console di amministrazione, è possibile configurare e gestire metodi di autenticazione, criteri di accesso, servizio di directory e personalizzare il branding del portale dell'utente finale e della console di amministrazione. Segue una descrizione delle impostazioni di configurazione della scheda Gestione identità e accessi. VMware, Inc. 7

8 Tavola 1 1. Impostazioni di configurazione di Gestione identità e accessi Impostazione Configura > Connettori Descrizione La pagina Connettori elenca i connettori distribuiti all'interno della rete dell'azienda. Il connettore è utilizzato per sincronizzare i dati di utenti e gruppi tra la directory aziendale e il servizio. Quando il connettore è utilizzato come provider di identità, autentica gli utenti nel servizio. Quando si associa una directory a un'istanza di connettore, il connettore crea una partizione per la directory associata, chiamata Worker. A un'istanza di connettore possono essere associati più Worker. Ciascun Worker agisce come provider di identità. Per ogni Worker è necessario definire e configurare i metodi di autenticazione. Il connettore sincronizza i dati di utenti e gruppi tra la directory aziendale e il servizio attraverso uno o più worker. Nella colonna Worker, selezionare un worker per visualizzare i dettagli del connettore e accedere alla pagina Adattatori autenticazione per controllare lo stato dei metodi di autenticazione disponibili. Per informazioni sull'autenticazione, vedere Capitolo 6 Configurazione dell'autenticazione utente in VMware Identity Manager. Nella colonna Provider di identità, selezionare il provider da visualizzare, modificare o disabilitare. Vedere Aggiunta e configurazione di un'istanza del provider di identità. Nella colonna Directory associata, accedere alla directory associata a questo Worker. Prima di aggiungere un nuovo connettore, fare clic su Aggiungi connettore per generare un codice di attivazione. Incollare il codice di attivazione nella procedura guidata di impostazione per stabilire la comunicazione con il connettore. Configura > Branding personalizzato Configura > Attributi utente Configura > Auto Discovery Configura > AirWatch Nella pagina Branding personalizzato, è possibile personalizzare l'aspetto dell'intestazione della console di amministrazione e della schermata di accesso. Vedere Personalizzazione del branding nel servizio VMware Identity Manager. Per personalizzare il portale Web dell'utente finale, le viste mobile e tablet, passare a Catalogo > Impostazioni > Branding portale utente. Vedere Personalizzazione del branding per il Portale utente. La pagina Attributi utente elenca gli attributi utente predefiniti sincronizzati nella directory e permette di aggiungere altri attributi che possono essere mappati con quelli di Active Directory. Vedere la guida all'integrazione della directory con VMware Identity Manager. Registrare il dominio per l'uso del servizio di individuazione automatica al fine di semplificare l'accesso degli utenti al proprio portale delle applicazioni utilizzando Workspace ONE. Gli utenti finali possono immettere i propri indirizzi invece dell'url dell'organizzazione quando accedono al proprio portale delle applicazioni tramite Workspace ONE. Per ulteriori informazioni sull'individuazione automatica, vedere la Guida alla distribuzione di VMware Workspace ONE. In questa pagina, è possibile impostare l'integrazione con AirWatch. Dopo aver configurato e salvato l'integrazione, è possibile attivare il catalogo unificato per unire le applicazioni configurate nel catalogo di AirWatch al catalogo unificato; attivare il controllo di conformità per verificare che i dispositivi gestiti rispettino i criteri di conformità di AirWatch e attivare l'autenticazione con password utente tramite AirWatch Cloud Connector (ACC). Vedere la Guida alla distribuzione di VMware Workspace ONE. VMware, Inc. 8

9 Tavola 1 1. Impostazioni di configurazione di Gestione identità e accessi (Continua) Impostazione Configura > Preferenze Descrizione La pagina Preferenze mostra le funzionalità attivabili dall'amministratore. Le preferenze sono le seguenti: Mostra che il dominio di sistema nella pagina di accesso può essere abilitato. I cookie permanenti possono essere attivati da questa pagina. Vedere Attivazione dei cookie permanenti. Abilitare Nascondi Menu a discesa del dominio quando non si desidera richiedere agli utenti di selezionare il dominio prima di accedere. Selezionare l'opzione identificatore univoco di accesso dell'utente per visualizzare la pagina di accesso basata sull'identificatore. Vedere Capitolo 5 Gestione dell'esperienza di accesso utente Personalizza prompt input di accesso può essere utilizzata per personalizzare il prompt nella casella di testo utente nella schermata di accesso. Condizioni d'uso In questa pagina, è possibile configurare le condizioni d'uso di Workspace ONE e assicurarsi che gli utenti finali le accettino prima di utilizzare il portale Workspace ONE. Segue una descrizione delle impostazioni utilizzate per gestire i servizi nella scheda Gestione identità e accessi. Tavola 1 2. Impostazioni di Gestione in Gestione identità e accessi Impostazione Gestione > Directory Gestione > Provider di identità Gestione > Assistenza per il recupero password Descrizione La pagina Directory elenca le directory create. L'utente crea una o più directory e quindi le sincronizza con la distribuzione della directory aziendale. In questa pagina è possibile visualizzare il numero di gruppi e utenti che vengono sincronizzati nella directory, nonché la data e l'ora dell'ultima sincronizzazione. È possibile fare clic su Sincronizza per avviare manualmente la sincronizzazione della directory.. Vedere la guida all'integrazione della directory con VMware Identity Manager. Quando si fa clic sul nome di una directory, è possibile modificare le impostazioni di sincronizzazione, esplorare le pagine dei Provider di identità e visualizzare il registro di sincronizzazione. Dalla pagina delle impostazioni di sincronizzazione delle directory è possibile pianificare la frequenza di sincronizzazione, visualizzare l'elenco dei domini associati a questa directory, cambiare l'elenco degli attributi mappati, aggiornare l'elenco di utenti e gruppi che vengono sincronizzati e impostare gli obiettivi di protezione. La pagina Provider di identità elenca i provider di identità configurati. Il connettore è un provider di identità iniziale. È possibile aggiungere istanze di provider di identità di terze parti o avere una combinazione di entrambi i tipi. Per l'autenticazione è possibile configurare il provider di identità integrato di VMware Identity Manager. Vedere Aggiunta e configurazione di un'istanza del provider di identità. Nella pagina Assistenza per il recupero password, è possibile cambiare il comportamento predefinito quando l'utente finale fa clic su "Password dimenticata" nella schermata di accesso. VMware, Inc. 9

10 Tavola 1 2. Impostazioni di Gestione in Gestione identità e accessi (Continua) Impostazione Metodi di autenticazione Gestione > Criteri Descrizione La pagina Metodi di autenticazione consente di configurare i metodi di autenticazione che possono essere associati ai provider di identità integrati. Dopo aver configurato i metodi di autenticazione in questa pagina, associare il metodo di autenticazione nella pagina del provider di identità integrato. La pagina Criteri elenca il criterio di accesso predefinito e tutti gli altri criteri di accesso alle applicazioni Web creati. Configurare gli intervalli di rete da utilizzare per consentire agli utenti di accedere tramite gli indirizzi IP. I criteri sono un insieme di regole che definiscono quali sono i criteri da soddisfare affinché gli utenti possano accedere ai rispettivi portali App personali o avviare applicazioni Web abilitate per essi. È possibile modificare il criterio predefinito e se al catalogo vengono aggiunte applicazioni Web, è possibile aggiungere nuovi criteri per gestire l'accesso a queste applicazioni Web. Vedere Capitolo 7 Gestione dei criteri di accesso. VMware, Inc. 10

11 Gestione dei ruoli di 2 amministratore VMware Identity Manager utilizza il controllo degli accessi basato sui ruoli per gestire i ruoli di amministratore. Con il controllo degli accessi basato su ruoli, è possibile creare ruoli funzionali che controllano l'accesso di amministrazione alle attività nella console di amministrazione, quindi assegnare i ruoli a uno o più utenti e gruppi. Nel servizio di VMware Identity Manager sono integrati tre ruoli amministratore predefiniti. È possibile assegnare questi ruoli predefiniti a utenti e gruppi nel servizio. Non è possibile modificare o eliminare questi ruoli. È inoltre possibile creare ruoli di amministratore personalizzati che forniscano autorizzazioni limitate a servizi specifici nella console di amministrazione. All'interno del servizio è possibile selezionare operazioni specifiche come il tipo di azione che può essere eseguita nel ruolo. Questo capitolo include i seguenti argomenti: Informazioni sui ruoli di accesso basati sui ruoli Aggiunta di un ruolo di amministratore Assegna utenti e gruppi a un ruolo di amministratore Rimozione dei ruoli amministratore Esempio 1. Creazione di un ruolo per gestire permessi e applicazioni di Office 365 Esempio 2. Creazione di un ruolo per la gestione delle reimpostazioni delle password in una directory locale Informazioni sui ruoli di accesso basati sui ruoli I tipi di ruoli seguenti possono essere concessi nel server di VMware Identity Manager I tre ruoli amministratore predefiniti includono i seguenti. Ruolo Super amministratore che può accedere e gestire tutte le funzionalità e le funzioni nei servizi di VMware Identity Manager. Il primo Super amministratore è l'utente amministratore locale creato da VMware Identity Manager alla prima configurazione del servizio. Il servizio crea l'amministratore nel dominio di sistema della directory di sistema. È possibile assegnare altri utenti al ruolo Super amministratore nella directory di sistema. È consigliabile concedere il ruolo Super amministratore a pochi utenti selezionati. VMware, Inc. 11

12 Il ruolo Amministratore di sola lettura consente di visualizzare i dettagli nelle pagine della console di amministrazione, tra cui il dashboard e i report, ma non di apportare modifiche. A tutti i ruoli di amministratore viene assegnato automaticamente il ruolo di sola lettura. Il ruolo Amministratore directory può gestire utenti, gruppi e directory. L'amministratore di directory può gestire l'integrazione delle directory sia per le directory aziendali che per le directory locali all'interno dell'organizzazione. L'amministratore di directory può inoltre gestire utenti e gruppi locali. Figura 2 1. Scheda Ruoli nella console di amministrazione di VMware Identity Manager È possibile assegnare questi ruoli predefiniti a utenti e gruppi nel servizio. Non è possibile modificare o eliminare questi ruoli. È inoltre possibile creare ruoli di amministratore personalizzati che forniscano autorizzazioni limitate a servizi specifici nella console di amministrazione. All'interno del servizio è possibile selezionare operazioni specifiche come il tipo di azione che può essere eseguita nel ruolo. A un utente o un gruppo è possibile assegnare più ruoli. Quando a un utente viene assegnato più di un ruolo, il comportamento dei ruoli applicati è additivo. Ad esempio, se a un amministratore vengono assegnati due ruoli, uno con accesso in scrittura alla gestione dei criteri e l'altro senza, tale amministratore potrà modificare i criteri. È possibile configurare il controllo dell'accesso basato sui ruoli per gestire i seguenti servizi nella console di amministrazione. VMware, Inc. 12

13 Tipo di servizio Catalogo Descrizione del servizio Il Catalogo è il repository di tutte le risorse di Workspace ONE che è possibile assegnare agli utenti. Il servizio Catalogo può gestire i seguenti tipi di azione. Applicazioni Web Origini delle app Applicazioni di terze parti Raccolta app virtuali ThinApp Raccolta app virtuali che include le applicazioni Horizon, Horizon Cloud e basate su Citrix. Nota: Per poter avviare il flusso iniziale nella pagina Raccolta app virtuali del Catalogo, è necessario un Super amministratore. Dopo l'avvio del flusso iniziale, i ruoli di amministratore del servizio Catalogo possono gestire i pacchetti ThinApp e le applicazioni desktop. Vedere la sezione relativa all'utilizzo delle raccolte di app virtuali per le integrazioni con il desktop nell'argomento relativo alle risorse di configurazione della guida di VMware Identity Manager 3.2. Gestione directory Utenti e gruppi Il servizio Gestione directory può gestire i seguenti tipi di azione per l'organizzazione o per directory specifiche nell'organizzazione. Directory aziendale. L'amministratore può aggiungere, modificare ed eliminare directory nel servizio. La modifica di una directory comprende la gestione delle impostazioni della directory, incluse le impostazioni di sincronizzazione. Directory locale. L'amministratore può creare, modificare ed eliminare directory locali. La modifica di una directory comprende la gestione delle impostazioni e la creazione, la modifica e l'eliminazione di utenti e gruppi locali. Quando il servizio Gestione directory è incluso in un ruolo, nel ruolo deve essere configurato anche il servizio Gestione identità e accessi. Il servizio Utenti e gruppi può gestire i seguenti tipi di azione in tutta l'organizzazione o per domini specifici dell'organizzazione. Gruppi Utenti Reimpostazioni password per gli utenti locali Permessi Il servizio Permessi consente di assegnare utenti ad applicazioni Web e virtuali. È possibile gestire i seguenti tipi di azione relativi ai permessi. Per ciascuna di queste azioni, è possibile configurare il ruolo per assegnare utenti e gruppi a tutte le risorse nell'organizzazione o ad applicazioni specifiche. È anche possibile autorizzare applicazioni per utenti e gruppi all'interno di domini specifici. Permessi Web Permessi di terze parti Amministrazione ruoli Gestione identità e accessi Il servizio Amministrazione ruoli può gestire l'assegnazione del ruolo di amministratore agli utenti. Quando si crea un ruolo con il servizio Amministrazione ruoli, è necessario configurare il servizio Utenti e gruppi e selezionare le azioni Gestisci utenti e Gestisci gruppi. Gli amministratori a cui è stato assegnato questo ruolo possono promuovere utenti e gruppi al ruolo di amministratore e possono rimuovere il ruolo di amministratore da utenti o gruppi. Il servizio Gestione identità e accessi può gestire le impostazioni nella scheda Gestione identità e accessi. Per gestire le impostazioni della directory, è necessario anche il servizio Gestione directory. Nota: Gli amministratori con il ruolo Gestione identità e accessi possono integrare VMware Identity Manager con AirWatch e creare la directory da AirWatch. VMware, Inc. 13

14 Quando si aggiunge un ruolo, si seleziona il servizio e si definiscono le azioni che possono essere eseguite nel servizio. In alcuni servizi, è possibile scegliere di gestire tutte le risorse per l'azione selezionata o solo alcune risorse. Gestione dell'accesso di sola lettura L'accesso di sola lettura viene concesso con ciascun ruolo assegnato a un amministratore. È inoltre possibile assegnare il ruolo di sola lettura a utenti e gruppi dalla pagina del ruolo Amministratore di sola lettura. Il ruolo Amministratore di sola lettura concede agli utenti amministratori l'accesso per la visualizzazione della console di amministrazione, ma a meno che agli amministratori non venga assegnato un altro ruolo con accesso aggiuntivo, possono solo visualizzare i contenuti della console di amministrazione. Quando si assegna il ruolo di sola lettura come ruolo separato, è possibile rimuovere il ruolo dalla pagina di assegnazione del ruolo di Amministratore di sola lettura o dalla pagina del profilo dell'utente o del gruppo. Aggiunta di un ruolo di amministratore Con il controllo degli accessi basato sui ruoli, è possibile creare un ruolo per gestire un'azione o molte azioni. Quando si crea un ruolo, è possibile aggiungere uno o più servizi al ruolo. Il nome del ruolo è personalizzato; è possibile selezionare il tipo di servizi e le azioni specifiche all'interno del servizio che il ruolo può gestire. Quando si crea un ruolo con il servizio Gestione directory, nel ruolo dev'essere configurato anche il servizio Gestione identità e accessi. Quando si crea un ruolo con il servizio di amministrazione ruoli, dev'essere configurato anche il servizio Utenti e gruppi con le azioni per gestire gli utenti e i gruppi selezionati. Prerequisiti Per creare un ruolo, è necessario essere un amministratore super o un amministratore assegnato al ruolo configurato con il servizio di amministrazione dei ruoli. 1 Nella scheda Ruoli della console di amministrazione, fare clic su Aggiungi. 2 Nella casella di testo Nome ruolo, immettere un nome descrittivo del ruolo e aggiungere una descrizione. Ogni nome di ruolo nel proprio ambiente deve essere univoco. 3 Fare clic su Avanti. 4 Selezionare il servizio da gestire mediante questo ruolo. 5 Nel menu a discesa Azioni, selezionare il tipo di azioni che possono essere gestite. VMware, Inc. 14

15 6 Selezionare Tutte le risorse per gestire tutte le risorse all'interno dell'azione, oppure selezionare Alcune e quindi selezionare la condizione che può essere gestita dal menu a discesa Condizioni. 7 Per aggiungere ulteriori azioni da gestire mediante questo ruolo, fare clic su + e completare l'azione di configurazione. 8 Fare clic su Salva. La pagina Servizi visualizza la configurazione impostata. 9 Se si desidera aggiungere un altro servizio per questo ruolo, selezionare il servizio e completare i passaggi di configurazione Terminata l'operazione, fare clic su Salva nella pagina Configurazione. Passi successivi Assegnare questo ruolo agli utenti in modo da renderli amministratori di questo servizio. Assegna utenti e gruppi a un ruolo di amministratore Un amministratore super o un ruolo che include il servizio amministrazione ruolo e il servizio utenti e gruppi può assegnare un ruolo a utenti e gruppi per elevarne i privilegi ad amministratori di quel ruolo. Prerequisiti Prerequisito specifico di AirWatch. Assicurarsi che gli utenti sincronizzati dalla directory di AirWatch che vengono promossi a un ruolo di amministratore in VMware Identity Manager siano configurati con un account Promozione utente amministratore nella console dell'amministratore AirWatch. Quando gli utenti con l'account Promozione utente amministratore si sincronizzano con VMware Identity Manager, essi vengono riconosciuti come amministratori e possono essere destinatari dell'assegnazione di un ruolo in VMware Identity Manager. Se un amministratore non è in questo account nella console di AirWatch, quando la directory di AirWatch si sincronizza con la directory VMware Identity Manager, il ruolo amministratore viene rimosso dal profilo utente. 1 Nella scheda Ruoli della console di amministrazione, selezionare il ruolo e fare clic su Assegna. 2 Immettere un nome nella casella di ricerca e selezionare l'utente o il gruppo. Solo i gruppi con meno di 500 utenti possono essere promossi a un ruolo di amministratore. 3 Fare clic su Salva. Gli utenti o i gruppi diventano amministratori per il ruolo. La pagina del profilo utente viene aggiornata per mostrare il ruolo. VMware, Inc. 15

16 Rimozione dei ruoli amministratore Un ruolo di amministratore può essere revocato dalla pagina Assegna del ruolo specifico. È possibile revocare tutti i ruoli assegnati a un utente dalla pagina del profilo dell'utente. È possibile rimuovere il gruppo dal ruolo, in modo da revocare il ruolo per tutti i membri del gruppo. È possibile rimuovere un ruolo da un membro specifico del gruppo. Per rimuovere solo dall'utente dal ruolo, rimuovere l'utente dal gruppo. Rimozione del ruolo di amministratore da singoli utenti Un utente amministratore può essere rimosso da un ruolo da un amministratore super o da un ruolo di amministratore. È possibile iniziare dalla pagina del profilo dell'utente nella scheda Utenti e gruppi per revocare il ruolo. Quando si inizia dalla pagina del profilo, fare clic sul collegamento per rimuovere il ruolo; si viene reindirizzati alla pagina Ruoli. Nota: I ruoli di amministratore possono essere revocati direttamente dalla pagina Assegna del ruolo. 1 Per rimuovere un ruolo dalla scheda Utenti e gruppi, accedere alla console di amministrazione. 2 Nella scheda Utenti e gruppi, selezionare Utenti e quindi il nome dell'utente. Nella pagina del profilo, la riga Ruoli elenca tutti i ruoli assegnati a questo utente. 3 Nella riga Ruoli, fare clic qui. Si verrà reindirizzati alla pagina Ruoli. 4 Selezionare il ruolo e fare clic su Assegna. 5 Fare clic sulla X accanto al nome. 6 Fare clic su Salva. L'utente viene rimosso dal ruolo di e il ruolo viene rimosso dal profilo utente. Rimozione di un gruppo da un ruolo Quando si rimuove un gruppo da un ruolo, viene revocato l'accesso per tutti i membri del gruppo. La sezione Ruoli delle pagine dei profili di utenti e gruppi viene aggiornata per rimuovere il ruolo. Non è possibile rimuovere da un ruolo un singolo membro di un gruppo. Per rimuovere un membro di un gruppo da un ruolo, rimuovere l'utente dal gruppo. VMware, Inc. 16

17 Se un utente del gruppo è stato assegnato direttamente al ruolo, quando il gruppo viene rimosso dal ruolo, l'utente mantiene il ruolo di amministratore. Nota: I ruoli di amministratore di un gruppo possono essere revocati direttamente dalla pagina Assegna del ruolo. 1 Per rimuovere un ruolo dalla scheda Utenti e gruppi, accedere alla console di amministrazione. 2 Nella scheda Utenti e gruppi, selezionare Gruppi e quindi il nome del gruppo. Nella pagina Profilo, la riga Ruoli include tutti i ruoli assegnati al gruppo. 3 Nella riga Ruoli, fare clic qui. Si verrà reindirizzati alla pagina Ruoli. 4 Selezionare il ruolo e fare clic su Assegna. 5 Fare clic sulla X accanto al nome del gruppo. 6 Fare clic su Salva. Il gruppo viene rimosso dal ruolo. Il ruolo viene rimosso dal profilo del gruppo e dal profilo di ogni membro. Esempio: Esempio di rimozione di gruppi da un ruolo Il Gruppo A, che include Utente1, Utente2 e Utente3, viene assegnato al ruolo Amministratore directory. I profili di Gruppo A, Utente1, Utente2 e Utente3 vengono aggiornati per riflettere il ruolo Amministratore directory nelle pagine dei rispettivi profili. Anche Utente2 viene assegnato direttamente al ruolo Amministratore directory. Si revoca l'accesso al Gruppo A. Gruppo A, Utente1 e Utente3 vengono rimossi dal ruolo e il ruolo viene rimosso dalle pagine di questi profili. Poiché Utente2 è stato assegnato direttamente al ruolo Amministratore directory, Utente2 è ancora assegnato al ruolo Amministratore directory. Esempio 1. Creazione di un ruolo per gestire permessi e applicazioni di Office 365 Con il controllo degli accessi basato su ruoli, è possibile concedere accesso amministratore a utenti e gruppi, consentendo loro di gestire applicazioni specifiche. Ad esempio, l'amministratore super può delegare le funzioni quotidiane per gestire le applicazioni di Office 365 in Workspace ONE a un altro amministratore. Creare un ruolo di amministratore per gestire Office 365 in Workspace ONE e per gestire i permessi per l'applicazione. VMware, Inc. 17

18 1 Nella pagina Ruoli della console di amministrazione, fare clic su Aggiungi. Creare un nome descrittivo del ruolo e descrivere lo scopo del ruolo. Fare clic su Avanti. 2 Nella pagina Configurazione, selezionare il servizio del catalogo. Per Azioni, selezionare Gestisci applicazioni Web. In Risorse, selezionare Alcune. Per Condizioni, selezionare Applicazioni Web e immettere Office 365 nella casella di ricerca. Salvare la configurazione. È possibile aggiungere altre applicazioni da gestire. Ad esempio, cercare SalesForce e aggiungerlo all'elenco di applicazioni Web per essere gestito in questo ruolo. VMware, Inc. 18

19 3 Selezionare nuovamente il servizio Permessi nella pagina Configurazione. Per Azioni, selezionare Gestisci permessi Web. In Risorse, selezionare Alcune. Per Condizioni, selezionare Applicazioni e nella casella di ricerca, immettere Office 365 per selezionare la stessa applicazione. Salvare la configurazione. Se è stata aggiunta un'altra applicazione nel servizio di catalogo, assicurarsi di aggiungerla qui se si desidera che l'amministratore gestisca i permessi. 4 Nella pagina Configurazione, fare clic di nuovo su Salva. Il ruolo per la gestione dell'applicazione Office 365 viene creato ed elencato nella pagina Ruoli. 5 Selezionare il ruolo creato e fare clic su Assegna. Nella casella di testo di Cerca, immettere i nomi degli utenti o dei gruppi a cui si desidera concedere l'accesso. Selezionare l'utente o il gruppo e fare clic su Salva. L'utente o il gruppo a questo punto è l'amministratore per questo ruolo. La pagina del profilo viene aggiornata per mostrare il ruolo di amministratore assegnato. Esempio 2. Creazione di un ruolo per la gestione delle reimpostazioni delle password in una directory locale È possibile creare un ruolo di amministratore semplice per gestire le reimpostazioni delle password per domini specifici. 1 Nella pagina Ruoli della console di amministrazione, fare clic su Aggiungi, immettere un nome descrittivo del ruolo e descrivere lo scopo del ruolo. Fare clic su Avanti. VMware, Inc. 19

20 2 Nella pagina Configurazione, selezionare il servizio Utenti e gruppi. In Azioni, selezionare Reimposta Password. In Risorse, selezionare Alcune. In Condizioni, selezionare il dominio locale e immettere il nome della directory locale nella casella di ricerca per selezionare la directory locale. Salvare la configurazione. 3 Selezionare il ruolo creato e fare clic su Assegna. Nella casella di testo Cerca, immettere il nome utente o il nome del gruppo di utenti. Selezionare l'utente o il gruppo e fare clic su Salva. VMware, Inc. 20

21 A questo punto, gli utenti o il gruppo costituiscono l'amministratore per questo ruolo. La pagina del profilo viene aggiornata per mostrare il ruolo di amministratore assegnato. VMware, Inc. 21

22 Utilizzo delle directory locali 3 La directory locale è uno dei tipi di directory che è possibile creare nel servizio VMware Identity Manager. Una directory locale consente di eseguire il provisioning degli utenti locali nel servizio e permettere loro di accedere ad applicazioni specifiche senza doverli aggiungere alla directory aziendale. La directory locale non è connessa ad alcuna directory aziendale e gli utenti e i gruppi non vengono sincronizzati da una directory aziendale. Gli utenti locali vengono infatti creati direttamente nella directory locale. Nel servizio è disponibile una directory locale predefinita denominata directory di sistema. È inoltre possibile creare più directory locali nuove. Directory di sistema La directory di sistema è una directory locale che viene creata automaticamente nel servizio quando viene configurato per la prima volta. Il dominio di questa directory è il dominio di sistema. Non è possibile modificare il nome o il dominio della directory di sistema o aggiungervi nuovi domini. La directory di sistema e il dominio di sistema non possono essere eliminati. Durante la prima configurazione del tenant, viene creato un utente amministratore locale nel dominio di sistema della directory di sistema. Le credenziali che si ricevono quando si ottiene un nuovo tenant appartengono a questo utente amministratore locale. È possibile aggiungere altri utenti alla directory di sistema. La directory di sistema viene in genere utilizzata per configurare alcuni utenti amministratori locali per la gestione del servizio. Per eseguire il provisioning di utenti finali e amministratori aggiuntivi, nonché concedere loro i permessi per le applicazioni, è consigliabile creare una nuova directory locale. Directory locali È possibile creare più directory locali. Ogni directory locale può avere uno o più domini. Quando si crea un utente locale, è necessario specificare la directory e il dominio per tale utente. È inoltre possibile selezionare attributi per tutti gli utenti di una directory locale. Gli attributi utente, come username, lastname e firstname vengono specificati a livello globale nel servizio VMware Identity Manager. È disponibile un elenco di attributi predefinito a cui è possibile aggiungere attributi personalizzati. Gli attributi utente globali si applicano a tutte le directory del servizio, incluse le VMware, Inc. 22

23 directory locali. Al livello della directory locale, è possibile selezionare quali attributi sono obbligatori per la directory. In questo modo è possibile definire un insieme di attributi personalizzato per ogni directory locale. Si noti che gli attributi username, lastname, firstname e sono sempre obbligatori per le directory locali. Nota: La possibilità di personalizzare gli attributi utente a livello della directory è disponibile solo per le directory locali e non per Active Directory o le directory LDAP. La creazione delle directory locali risulta utile in scenari analoghi a quelli descritti di seguito. È possibile creare una directory locale per un tipo di utente specifico che non fa parte della directory aziendale. È ad esempio possibile creare una directory locale per i partner, che in genere non fanno parte della directory aziendale, e consentire loro di accedere solo alle applicazioni di cui necessitano. È consigliabile creare più directory locali se si desidera definire attributi utente o metodi di autenticazione diversi per set di utenti diversi. È ad esempio possibile creare una directory locale per i distributori con attributi utente come area e dimensioni del mercato e un'altra directory locale per i fornitori con attributi utente come categoria prodotto e tipo di fornitore. Provider di identità per la directory di sistema e le directory locali Per impostazione predefinita, la directory di sistema viene associata a un provider di identità denominato provider di identità del sistema. Per impostazione predefinita, in questo provider di identità è abilitato il metodo Password (directory Cloud), che si applica al criterio default_access_policy_set per l'intervallo di rete TUTTI GLI INTERVALLI e il tipo di dispositivo Browser Web. È possibile configurare metodi di autenticazione aggiuntivi e impostare criteri di autenticazione. Quando viene creata, una nuova directory locale non è associata ad alcun provider di identità. Dopo aver creato la directory, creare un nuovo provider di identità di tipo Embedded e associarvi la directory. Nel provider di identità, abilitare il metodo di autenticazione Password (directory Cloud). È possibile associare più directory locali allo stesso provider di identità. Il connettore VMware Identity Manager non è necessario per la directory di sistema e le directory locali create. Per ulteriori informazioni, vedere la sezione relativa alla configurazione dell'autenticazione degli utenti in VMware Identity Manager nella Guida all'amministrazione di VMware Identity Manager. Gestione delle password per gli utenti della directory locale Per impostazione predefinita, tutti gli utenti delle directory locali possono cambiare la propria password nell'app o nel portale Workspace ONE. È possibile impostare criteri per le password degli utenti locali. È inoltre possibile reimpostare le password degli utenti locali in base alle esigenze. VMware, Inc. 23

24 Quando sono connessi al portale Workspace ONE, gli utenti possono cambiare la propria password facendo clic sul proprio nome nell'angolo in alto a destra, selezionando Account nel menu a discesa e facendo clic sul collegamento Cambia password. Nell'app Workspace ONE, gli utenti possono cambiare la propria password facendo clic sull'icona del menu con tre barre e selezionando Password. Per informazioni sull'impostazione di criteri per le password e la reimpostazione delle password degli utenti locali, vedere la sezione relativa alla gestione di utenti e gruppi nella guida all'amministrazione di VMware Identity Manager. Questo capitolo include i seguenti argomenti: Creazione di una directory locale Modifica delle impostazioni della directory locale Eliminazione di una directory locale Configurazione di un metodo di autenticazione per gli utenti amministratori di sistema Creazione di una directory locale Per creare una directory locale, è sufficiente specificare gli attributi utente per la directory, creare la directory e identificarla con un provider di identità. Impostazione degli attributi utente a livello globale Prima di creare una directory locale, verificare gli attributi utente globali nella pagina Attributi utente e aggiungere attributi personalizzati, se necessario. Gli attributi utente, come firstname, lastname, e domain, fanno parte del profilo di un utente. Nel servizio VMware Identity Manager gli attributi utente vengono definiti a livello globale e si applicano a tutte le directory del servizio, incluse le directory locali. A livello della directory locale è possibile ignorare il fatto che un attributo sia obbligatorio o facoltativo per gli utenti della directory, ma non è possibile aggiungere attributi personalizzati. Se un attributo è obbligatorio, è necessario specificare un valore per tale attributo quando si crea un utente. Quando si creano attributi personalizzati, non è possibile utilizzare le parole seguenti. Tavola 3 1. Parole che non possono essere utilizzate come nomi di attributi personalizzati active addresses costcenter department displayname division s employeenumber entitlements externalid groups id ims locale manager meta name nickname organization password phonenumber photos preferredlanguage profileurl VMware, Inc. 24

25 Tavola 3 1. Parole che non possono essere utilizzate come nomi di attributi personalizzati (Continua) roles timezone title username usertype x509certificate Nota: La possibilità di ignorare gli attributi utente a livello della directory si applica solo alle directory locali e non alle directory di LDAP o Active Directory. 1 Nella console di amministrazione, fare clic sulla scheda Gestione identità e accessi. 2 Fare clic su Configura, quindi sulla scheda Attributi utente. 3 Esaminare l'elenco di attributi utente e aggiungere altri attributi, se necessario. Nota: Anche se in questa pagina è possibile scegliere quali attributi sono obbligatori, è consigliabile eseguire la selezione per le directory locali a livello delle directory locali stesse. Se un attributo viene contrassegnato come Obbligatorio in questa pagina, la condizione si applica a tutte le directory nel servizio, incluse le directory di Active Directory o LDAP. 4 Fare clic su Salva. Passi successivi Creare la directory locale. Creazione di una directory locale Dopo aver esaminato e impostato attributi utente globali, creare la directory locale. 1 Nella console di amministrazione, fare clic sulla scheda Gestione identità e accessi, quindi sulla scheda Directory. 2 Fare clic su Aggiungi directory e selezionare Aggiungi directory utente locale nel menu a discesa. VMware, Inc. 25

26 3 Nella pagina Aggiungi directory, immettere un nome di directory e specificare almeno un nome di dominio. Il nome del dominio deve essere univoco tra tutte le directory nel servizio. Ad esempio: 4 Fare clic su Salva. 5 Nella pagina Directory, fare clic sulla nuova directory. 6 Fare clic sulla scheda Attributi utente. Tutti gli attributi della pagina Gestione identità e accessi > Configura > Attributi utente verranno elencati per la directory locale. Gli attributi contrassegnati come obbligatori in tale pagina vengono elencati come obbligatori anche nella pagina della directory locale. 7 Personalizzare gli attributi per la directory locale. È possibile specificare gli attributi obbligatori e quelli facoltativi. È inoltre possibile modificare l'ordine di visualizzazione degli attributi. Importante: Gli attributi username, firstname, lastname e sono sempre obbligatori per le directory locali. Per rendere obbligatorio un attributo, selezionare la casella di controllo accanto al nome dell'attributo. Per rendere facoltativo un attributo, deselezionare la casella di controllo accanto al nome dell'attributo. Per modificare l'ordine degli attributi, fare clic e trascinare gli attributi nella nuova posizione. VMware, Inc. 26

27 Se un attributo è obbligatorio, quando si crea un utente è necessario specificare un valore per tale attributo. Ad esempio: 8 Fare clic su Salva. Passi successivi Associare la directory locale al provider di identità che si desidera utilizzare per l'autenticazione degli utenti nella directory. VMware, Inc. 27

28 Associazione della directory locale a un provider di identità Associare la directory locale a un provider di identità in modo che sia possibile eseguire l'autenticazione degli utenti della directory. Creare un nuovo provider di identità di tipo Embedded e abilitare il metodo di autenticazione Password (directory locale) in tale provider. Nota: Non utilizzare il provider di identità integrato. Non è infatti consigliabile abilitare il metodo di autenticazione Password (directory locale) nel provider di identità integrato. Prerequisiti Il metodo di autenticazione Password (directory locale) deve essere configurato nella pagina Gestione identità e accessi > Metodi di autenticazione. 1 Nella scheda Gestione identità e accessi fare clic sulla scheda Provider di identità. 2 Fare clic su Aggiungi provider di identità e selezionare Crea provider di identità integrato. 3 Immettere le informazioni seguenti. Opzione Nome del provider di identità Utenti Rete Metodi di autenticazione Esportazione certificato KDC Descrizione Immettere un nome per il provider di identità. Selezionare la directory locale creata. Selezionare le reti da cui è possibile accedere al provider di identità. Selezionare Password (directory locale). Non è necessario scaricare il certificato a meno che non si stia configurando SSO mobile per i dispositivi ios gestiti da AirWatch. VMware, Inc. 28

29 4 Fare clic su Aggiungi. Il provider di identità viene creato e associato alla directory locale. Nel provider di identità è possibile configurare altri metodi di autenticazione in un secondo momento. Per ulteriori informazioni sull'autenticazione, vedere la sezione relativa alla configurazione dell'autenticazione utente in VMware Identity Manager di VMware Identity Manager Administration. È possibile utilizzare lo stesso provider di identità per più directory locali. Passi successivi Creare utenti e gruppi locali. È possibile creare utenti e gruppi locali nella scheda Utenti e gruppi della console di amministrazione. Per ulteriori informazioni, vedere la sezione relativa alla gestione di utenti e gruppi di VMware Identity Manager Administration. Modifica delle impostazioni della directory locale Dopo aver creato una directory locale, è possibile modificarne le impostazioni in qualsiasi momento. È possibile modificare le impostazioni seguenti. Modificare il nome della directory. Aggiungere, eliminare o rinominare i domini. I nomi dei domini devono essere univoci in tutte le directory nel servizio. Quando si modifica il nome di un dominio, gli utenti associati al vecchio dominio vengono associati al nuovo dominio. La directory deve includere almeno un dominio. Non è possibile aggiungere un dominio alla directory di sistema o eliminare il dominio di sistema. Aggiungere nuovi attributi utente o rendere un attributo esistente obbligatorio o facoltativo. Se la directory locale non include ancora alcun utente, è possibile aggiungere nuovi attributi obbligatori o facoltativi e modificare gli attributi esistenti rendendoli obbligatori o facoltativi. Se sono già stati creati utenti nella directory locale, è possibile aggiungere solo attributi facoltativi e modificare gli attributi esistenti rendendoli da obbligatori a facoltativi. Non è possibile rendere obbligatorio un attributo facoltativo dopo aver creato gli utenti. Gli attributi username, firstname, lastname e sono sempre obbligatori per le directory locali. Poiché gli attributi utente vengono definiti a livello globale nel servizio VMware Identity Manager, ogni nuovo attributo aggiunto verrà incluso in tutte le directory nel servizio. Modificare l'ordine di visualizzazione degli attributi. 1 Fare clic sulla scheda Gestione identità e accessi. VMware, Inc. 29

30 2 Nella pagina Directory, fare clic sulla directory che si desidera modificare. 3 Modificare le impostazioni della directory locale. Opzione Azione Modificare il nome della directory a Nella scheda Impostazioni modificare il nome della directory. Aggiungere, eliminare o rinominare un dominio Aggiungere attributi utente alla directory Rendere un attributo obbligatorio o facoltativo per la directory b a b c d a b c a b c d Fare clic su Salva. Nella scheda Impostazioni modificare l'elenco Domini. Per aggiungere un dominio, fare clic sull'icona a forma di segno più verde. Per eliminare un dominio, fare clic sull'icona di eliminazione rossa. Per rinominare un dominio, modificare il nome del dominio nella casella di testo. Fare clic sulla scheda Gestione identità e accessi, quindi fare clic su Configura. Fare clic sulla scheda Attributi utente. Aggiungere attributi nell'elenco Aggiungere altri attributi da utilizzare e fare clic su Salva. Nella scheda Gestione identità e accessi, fare clic sulla scheda Directory. Fare clic sul nome della directory locale e sulla scheda Attributi utente. Selezionare la casella di controllo accanto a un attributo per renderlo obbligatorio oppure deselezionare la casella di controllo per renderlo facoltativo. Fare clic su Salva. Modificare l'ordine degli attributi a Nella scheda Gestione identità e accessi, fare clic sulla scheda Directory. b c d Fare clic sul nome della directory locale e sulla scheda Attributi utente. Fare clic sugli attributi e trascinarli nella nuova posizione. Fare clic su Salva. Eliminazione di una directory locale È possibile eliminare una directory locale creata nel servizio VMware Identity Manager. Non è invece consentito eliminare la directory di sistema, che viene creata per impostazione predefinita alla prima configurazione del servizio. Attenzione: Quando si elimina una directory dal servizio, vengono eliminati anche tutti gli utenti inclusi nella directory. 1 Fare clic sulla scheda Gestione identità e accessi, quindi fare clic sulla scheda Directory. 2 Fare clic sulla directory che si desidera eliminare. 3 Nella pagina della directory, fare clic su Elimina directory. VMware, Inc. 30

31 Configurazione di un metodo di autenticazione per gli utenti amministratori di sistema Il metodo di autenticazione predefinito che gli amministratori di sistema inseriscono per accedere dalla directory di sistema è Password (directory locale). Il criterio di accesso predefinito include una regola di criterio configurata con Password (directory locale) come metodo di fallback in modo che gli amministratori possano accedere alla console di amministrazione di VMware Identity Manager e al portale Workspace ONE. Quando si creano i criteri di accesso per specifiche applicazioni Web e desktop per cui è autorizzato il ruolo di amministratore di sistema, configurare una regola nei criteri per includere Password (Directory locale) come metodo di autenticazione di fallback. In caso contrario, un amministratore non potrà accedere all'applicazione. VMware, Inc. 31

32 Provisioning utente Just-in-Time 4 Il provisioning utente Just-in-Time consente di creare dinamicamente gli utenti del servizio VMware Identity Manager in fase di accesso, utilizzando asserzioni SAML inviate da un provider di identità di terze parti. Il provisioning utente Just-in-Time è disponibile solo per provider di identità di terze parti. Non è disponibile per il connettore di VMware Identity Manager. Questo capitolo include i seguenti argomenti: Informazioni sul provisioning utente Just-in-Time Preparazione per il provisioning Just-in-Time Configurazione del provisioning utente Just-in-Time Requisiti per le asserzioni SAML Disattivazione del provisioning utente Just-in-Time Eliminazione di una directory Just-in-Time Messaggi di errore Informazioni sul provisioning utente Just-in-Time Il provisioning Just-in-Time fornisce un altro modo di eseguire il provisioning di utenti nel servizio VMware Identity Manager. Invece di sincronizzare gli utenti da un'istanza di Active Directory, con il provisioning Just-in-Time gli utenti vengono creati e aggiornati dinamicamente al loro accesso in base alle asserzioni SAML inviate dal provider di identità. In questo scenario, VMware Identity Manager funziona da provider di servizi SAML. La configurazione Just-in-Time può essere configurata solo per provider di identità di terze parti. Non è disponibile per il connettore. Con una configurazione Just-in-Time, non è necessario installare un connettore on-premise in quanto il processo di gestione e gestione di tutti gli utenti è gestito mediante asserzioni SAML e l'autenticazione è gestita dal provider di identità di terze parti. VMware, Inc. 32

33 Creazione e gestione di utenti Se il provisioning Just-in-Time è abilitato, quando un utente passa alla pagina di accesso al servizio VMware Identity Manager e seleziona un dominio, sarà reindirizzato al provider di identità corretto. L'utente accede, viene autenticato e viene reindirizzato dal provider di identità al servizio VMware Identity Manager con una asserzione SAML. Gli attributi nell'asserzione SAML sono utilizzati per creare l'utente nel servizio. Sono utilizzati solo gli attributi che corrispondono agli attributi utente definiti nel servizio; altri attributi saranno ignorati. L'utente viene aggiunto anche ai gruppi basati sugli attributi e riceve i permessi impostati per tali gruppi. Agli accessi successivi, se sono state apportate delle modifiche nell'asserzione SAML, l'utente sarà aggiornato nel servizio. Gli utenti sottoposti a provisioning Just-in-Time non possono essere eliminati. Per eliminare gli utenti, è necessario eliminare la directory Just-in-Time. Tenere presente che la gestione di tutti gli utenti viene condotta tramite le asserzioni SAML. Non è possibile creare o aggiornare questi utenti direttamente dal servizio. Gli utenti Just-in-Time non possono essere sincronizzati da Active Directory. Per informazioni sugli attributi richiesti nell'asserzione SAML, vedere Requisiti per le asserzioni SAML. Directory Just-in-Time Il provider di identità di terze parti deve avere una directory Just-in-Time associata nel servizio. Quando si abilita il provisioning Just-in-Time per un provider di identità, viene creata una nuova directory Just-in-Time e si specifica uno o più domini per tali directory. Gli utenti appartenenti a questi domini sono sottoposti a provisioning nella directory. Se per la directory sono configurati più domini, le asserzioni SAML devono includere un attributo di dominio. Se per la directory è configurato un singolo dominio, un attributo di dominio non è richiesto nelle asserzioni SAML ma se viene specificato, il suo valore deve corrispondere al nome del dominio. È possibile associare soltanto una directory, di tipo Just-in-Time, a un provider di identità che ha il provisioning Just-in-Time abilitato. Preparazione per il provisioning Just-in-Time Prima di configurare il provisioning dell'utente Just-in-Time, rivedere gruppi, permessi dei gruppi e impostazioni degli attributi utente, quindi apportare le modifiche necessarie. Individuare inoltre i domini che si desidera utilizzare per la directory Just-in-Time. VMware, Inc. 33

34 Creazione di gruppi locali Gli utenti registrati tramite il provisioning Just-in-Time vengono aggiunti ai gruppi in base ai rispettivi attributi utente ed ereditano i permessi sulle risorse dai gruppi a cui appartengono. Prima di configurare il provisioning Just-in-Time, assicurarsi che vi siano gruppi locali nel servizio. Creare uno o più gruppi locali, in base alle esigenze. Per ogni gruppo, impostare le regole per l'appartenenza al gruppo e aggiungere i permessi. 1 Nella console di amministrazione, selezionare la scheda Utenti e gruppi. 2 Click Crea gruppo, specificare un nome e una descrizione per il gruppo e fare clic su Aggiungi. 3 Nella pagina Gruppi, fare clic sul nuovo gruppo. 4 Configurare gli utenti per il gruppo. a b Nel riquadro di sinistra, selezionare Utenti in questo gruppo. Fare clic su Modifica utenti in questo gruppo e impostare le regole di appartenenza al gruppo. 5 Aggiungere permessi al gruppo. a b c Nel riquadro di sinistra, selezionare Permessi. Fare clic su Aggiungi permessi e selezionare le applicazioni e il metodo di distribuzione per ogni applicazione. Fare clic su Salva. Revisione degli attributi dell'utente Rivedere gli attributi dell'utente impostati per tutte le directory di VMware Identity Manager nella pagina Attributi utente e modificarli, se necessario. Quando viene effettuato il provisioning di un utente tramite il provisioning Just-in-Time, l'asserzione SAML viene utilizzata per creare l'utente. Vengono utilizzati solo gli attributi nell'asserzione SAML corrispondenti a quelli elencati nella pagina Attributi utente. Importante: Se un attributo viene contrassegnato come obbligatorio nella pagina Attributi utente, l'asserzione SAML deve comprendere l'attributo, altrimenti l'accesso non viene effettuato. Quando si apportano modifiche agli attributi utente, considerare gli effetti su altre directory e configurazioni nel tenant. La pagina Attributi utente riguarda tutte le directory del tenant. Nota: Non è necessario contrassegnare come obbligatorio l'attributo domain. 1 Nella console di gestione, fare clic sulla scheda Gestione identità e accessi. 2 Fare clic su Impostazione, quindi fare clic su Attributi utente. VMware, Inc. 34

35 3 Rivedere gli attributi e apportare le modifiche necessarie. Configurazione del provisioning utente Just-in-Time È possibile configurare il provisioning utente Just-in-Time per un provider di identità di terze parti mentre si crea o si aggiorna il provider di identità nel servizio VMware Identity Manager. L'attivazione del provisioning Just-in-Time comporta la creazione di una nuova directory Just-in-Time e la definizione di uno o più domini associati. Alla directory vengono aggiunti gli utenti che appartengono a questi domini. È necessario specificare almeno un dominio. Il nome del dominio deve essere univoco tra tutte le directory del servizio VMware Identity Manager. Se si specificano più domini, le dichiarazioni SAML devono includere l'attributo di dominio. Se si specifica un unico dominio, questo viene utilizzato come dominio per le dichiarazioni SAML senza un attributo di dominio. Se viene specificato un attributo di dominio, il suo valore deve corrispondere a uno dei domini, altrimenti l'accesso avrà esito negativo. 1 Accedere alla console di amministrazione del servizio VMware Identity Manager. 2 Fare clic sulla scheda Gestione identità e accessi e quindi su Provider di identità. 3 Fare clic su Aggiungi provider di identità o selezionare un provider di identità. VMware, Inc. 35