JumpCloud
Eine eigene OpenID-Connect-Anwendung in JumpCloud anlegen, das Gruppenattribut einschließen und sie für Single Sign-on verbinden.
Costfluent meldet deine Leute über JumpCloud per OpenID Connect an. Du legst eine eigene OIDC-Anwendung in JumpCloud an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und einen JumpCloud-Administrator, der SSO-Anwendungen hinzufügen darf.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Diese Seite folgt der Dokumentation von JumpCloud. Costfluent wurde noch nicht mit JumpCloud getestet.
Anwendung registrieren
- Füge im JumpCloud Admin Portal unter den SSO-Anwendungen eine eigene OIDC-Anwendung hinzu.
- Füge den Weiterleitungs-URI
https://app.costfluent.com/api/auth/sso/callbackhinzu. - Wähle Client Secret Post als Art der Client-Authentifizierung: Costfluent sendet das Secret im Body der Token-Anfrage.
- Ordne die Standard-Scopes
emailundprofilezu, binde die Benutzergruppen, die sich anmelden sollen, und speichere. Kopiere die Client-ID und das Client-Secret, das JumpCloud nur einmal zeigt.
Deine Discovery-URL ist https://oauth.id.jumpcloud.com/.well-known/openid-configuration, oder https://oauth.id.eu.jumpcloud.com/.well-known/openid-configuration für eine Organisation in der EU-Region von JumpCloud.
Gruppen senden
- Schließe in den Attributeinstellungen der Anwendung das Gruppenattribut ein.
- Nenne es
groups, oder stelle den gewählten Namen in Costfluent als Gruppen-Claim der Verbindung ein.
Die Gruppe beim Identitätsanbieter, die du in Costfluent zuordnest, ist der Gruppenname, wie JumpCloud ihn sendet.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Ordne die Gruppen Teams zu und aktiviere dann die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, der dem Aussteller gleichen muss, den dein Discovery-Dokument beim Verbinden nannte.sub, die JumpCloud-Benutzer-ID, als die Identität, die Costfluent speichert.email, die in einer der bestätigten Domains der Verbindung liegen muss. JumpCloud ist ein Aussteller für alle JumpCloud-Organisationen einer Region, deshalb hält die bestätigte Domain einen Benutzer einer anderen Organisation fern: Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.groupsoder ein anderer Claim-Name, den du an der Verbindung einstellst.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.