Creare l'alias dell'amministratore di ThingWorx nel provider di identificativi
L'architettura della piattaforma del prodotto PTC presuppone che si disponga di un provider di identificativi (un servizio di elenco aziendale) a cui PingFederate reindirizza le richieste per l'autenticazione utente. PingFederate non accede ai dati dell'utente. Il provider di identificativi (IdP) invia una condizione SAML che dichiara che l'utente è autenticato. In base a questa convalida, PingFederate restituisce quindi una condizione SAML ad ThingWorx che dichiara che l'utente è stato autenticato.
La condizione SAML restituita dal CAS o dall'IdP ad ThingWorx deve essere "Amministratore". Se l'IdP utilizza il nome utente "Amministratore" per il proprio accesso amministratore, attenersi alla procedura descritta di seguito.
1. Creare un account nell'IdP con un nome utente diverso (ad esempio twxadmin).
2. Creare una mappatura degli attributi SAML tra quel nome utente e l'uid "Amministratore". È possibile mappare gli attributi SAML nel CAS (PingFederate) o nell'IdP a cui il CAS fa riferimento durante l'autenticazione degli utenti.
Ciò garantisce che la condizione SAML inviata ad ThingWorx disponga dell'uid richiesto da ThingWorx.
3. Nella pagina di accesso, inserire il nome utente amministratore di ThingWorx alternativo.
Questo utente amministratore di ThingWorx con alias non può essere utilizzato per l'autorizzazione delegata. Per informazioni sulla creazione di account utente e sulla mappatura degli attributi, fare riferimento alla documentazione dei prodotti PingFederate e IdP.
Per utilizzare l'autorizzazione delegata tramite un utente amministratore, attenersi alla procedura descritta di seguito.
1. Creare l'utente localmente in ThingWorx.
2. Aggiungere questo utente al gruppo degli amministratori di ThingWorx.
3. Aggiungere questo utente all'Elenco di esclusione provisioning utenti in ThingworxSSOAuthenticator.
4. Aggiungere questo utente all'IdP federato a cui il CAS fa riferimento quando autentica gli accessi utente.
5. Utilizzare questo account utente ogni volta che è necessario verificare l'autorizzazione delegata di un account amministratore.