SCIM 供应

第一步：启用 SCIM

1. 登录 Okta 并选择 Admin 打开管理门户。
2. 打开您在配置 SSO 连接时创建的应用程序。
3. 在应用程序页面上，选择 General 选项卡，然后选择 Edit App Settings。
4. 启用 SCIM 供应，然后选择 Save。
5. 导航到 Provisioning，然后选择 Edit SCIM Connection。
6. 要在 Okta 中配置 SCIM，请使用以下值和设置来设置您的连接
   • SCIM 基本 URL：SCIM 连接器基本 URL（从 Docker 主页复制）
   • 用户的唯一标识符字段：`email`
   • 支持的供应操作：推送新用户 和 推送配置文件更新
   • 认证模式：HTTP Header
   • SCIM Bearer 令牌：HTTP Header 授权 Bearer 令牌（从 Docker 主页复制）
7. 选择 测试连接器配置。
8. 查看测试结果并选择 保存。

第二步：启用同步

1. 在 Okta 中，选择 Provisioning。
2. 选择 To App，然后选择 Edit。
3. 启用 创建用户、更新用户属性 和 停用用户。
4. 选择保存。
5. 移除不必要的映射。必要的映射是
   • 用户名
   • 名字
   • 姓氏
   • 电子邮件

接下来，设置角色映射。

Microsoft 不支持在同一非库应用程序中同时使用 SCIM 和 OIDC。您必须在 Entra ID 中为 SCIM 供应创建第二个非库应用程序。

第一步：创建单独的 SCIM 应用程序

1. 在 Azure 门户中，转到 Microsoft Entra ID > 企业应用程序 > 新建应用程序。
2. 选择 创建您自己的应用程序。
3. 命名您的应用程序并选择 集成您在库中找不到的任何其他应用程序。
4. 选择 Create (创建)。

第二步：配置 SCIM 供应

1. 在您的新 SCIM 应用程序中，转到 供应 > 开始。
2. 将 供应模式 设置为 自动。
3. 在 管理员凭据 下
   • 租户 URL：粘贴 Docker 主页中的 SCIM 基本 URL。
   • 秘密令牌：粘贴 Docker 主页中的 SCIM API 令牌。
4. 选择 测试连接 进行验证。
5. 选择 保存 以存储凭据。

接下来，设置角色映射。

1. 在 Azure 门户中，转到 Microsoft Entra ID > 企业应用程序，然后选择您的 Docker SAML 应用程序。
2. 选择 供应 > 开始。
3. 将 供应模式 设置为 自动。
4. 在 管理员凭据 下
   • 租户 URL：粘贴 Docker 主页中的 SCIM 基本 URL。
   • 秘密令牌：粘贴 Docker 主页中的 SCIM API 令牌。
5. 选择 测试连接 进行验证。
6. 选择 保存 以存储凭据。

接下来，设置角色映射。

第一步：在 Okta 中设置角色映射

1. 首先设置SSO和 SCIM。
2. 在 Okta 管理门户中，转到 Directory，选择 Profile Editor，然后选择 User (Default)。
3. 选择 Add Attribute 并为要添加的角色、组织或团队配置值。不需要精确命名。
4. 返回 Profile Editor 并选择您的应用程序。
5. 选择 Add Attribute 并输入所需的值。External Name 和 External Namespace 必须完全匹配。
   • 组织/团队/角色映射的外部名称值分别为 dockerOrg、dockerTeam 和 dockerRole，如上表所示。
   • 所有这些的外部命名空间都是相同的：urn:ietf:params:scim:schemas:extension:docker:2.0:User。
6. 创建属性后，导航到页面顶部并选择 Mappings，然后选择 Okta User to YOUR APP。
7. 转到新创建的属性并将变量名映射到外部名称，然后选择 保存映射。如果您使用的是 JIT 供应，请继续执行以下步骤。
8. 导航到 Applications 并选择 YOUR APP。
9. 选择 General，然后选择 SAML Settings，再选择 Edit。
10. 选择 Step 2 并配置从用户属性到 Docker 变量的映射。

第二步：按用户分配角色

1. 在 Okta 管理门户中，选择 Directory，然后选择 People。
2. 选择 Profile，然后选择 Edit。
3. 选择 Attributes 并将属性更新为所需的值。

第三步：按组分配角色

1. 在 Okta 管理门户中，选择 Directory，然后选择 People。
2. 选择 YOUR GROUP，然后选择 Applications。
3. 打开 YOUR APPLICATION 并选择 Edit 图标。
4. 将属性更新为所需的值。

如果用户尚未设置属性，则添加到该组的用户将在供应时继承这些属性。

第一步：配置属性映射

1. 完成SCIM 供应设置。
2. 在 Azure 门户中，打开 Microsoft Entra ID > 企业应用程序，然后选择您的 SCIM 应用程序。
3. 转到 供应 > 映射 > 供应 Azure Active Directory 用户。
4. 添加或更新以下映射
   • userPrincipalName -> userName
   • mail -> emails.value
   • 可选。使用其中一种映射方法映射 dockerRole、dockerOrg 或 dockerTeam。
5. 移除任何不支持的属性以防止同步错误。
6. 可选。转到 映射 > 供应 Azure Active Directory 组
   • 如果组供应导致错误，请将 Enabled 设置为 否。
   • 如果启用，请仔细测试组映射。
7. 选择 保存 以应用映射。

第二步：选择角色映射方法

您可以使用以下方法之一映射 dockerRole、dockerOrg 或 dockerTeam

表达式映射

如果您只需要分配 Docker 角色，例如 member、editor 或 owner，请使用此方法。

1. 在 编辑属性 视图中，将映射类型设置为 表达式。
2. 在 表达式 字段中
   1. 如果您的应用角色与 Docker 角色完全匹配，请使用：SingleAppRoleAssignment([appRoleAssignments])
   2. 如果不匹配，请使用 switch 表达式：Switch(SingleAppRoleAssignment([appRoleAssignments]), "我的公司管理员", "owner", "我的公司编辑", "editor", "我的公司用户", "member")
3. 设置
   • 目标属性：urn:ietf:params:scim:schemas:extension:docker:2.0:User:dockerRole
   • 使用此属性匹配对象：否
   • 应用此映射：始终
4. 保存您的更改。

警告

您不能将 dockerOrg 或 dockerTeam 与此方法一起使用。表达式映射仅与一个属性兼容。

直接映射

如果您需要映射多个属性（dockerRole + dockerTeam），请使用此方法。

1. 对于每个 Docker 属性，选择一个唯一的 Entra 扩展属性（extensionAttribute1、extensionAttribute2 等）。
2. 在 编辑属性 视图中
   • 将映射类型设置为 直接。
   • 将 源属性 设置为您选择的扩展属性。
   • 将 目标属性 设置为以下之一
     • dockerRole: urn:ietf:params:scim:schemas:extension:docker:2.0:User:dockerRole
     • dockerOrg: urn:ietf:params:scim:schemas:extension:docker:2.0:User:dockerOrg
     • dockerTeam: urn:ietf:params:scim:schemas:extension:docker:2.0:User:dockerTeam
   • 将 应用此映射 设置为 始终。
3. 保存您的更改。

要分配值，您需要使用 Microsoft Graph API。

第三步：分配用户和组

对于任何一种映射方法

1. 在 SCIM 应用程序中，转到 用户和组 > 添加用户/组。
2. 选择要供应到 Docker 的用户或组。
3. 选择 分配。

如果您使用的是表达式映射

1. 转到 应用注册 > 您的 SCIM 应用程序 > 应用角色。
2. 创建与 Docker 角色匹配的应用角色。
3. 在 用户和组 下将用户或组分配给应用角色。

如果您使用的是直接映射

1. 转到 Microsoft Graph Explorer 并以租户管理员身份登录。
2. 使用 Microsoft Graph API 分配属性值。PATCH 请求示例

PATCH https://graph.microsoft.com/v1.0/users/{user-id}
Content-Type: application/json

{
  "extensionAttribute1": "owner",
  "extensionAttribute2": "moby",
  "extensionAttribute3": "developers"
}

注意

您必须为每个 SCIM 字段使用不同的扩展属性。

1. 在 Okta 管理门户中，转到 Directory > People。
2. 选择您已分配给 SCIM 应用程序的用户。
3. 选择 Provision User。
4. 等待几秒钟，然后在 成员 下的 Docker 管理控制台中检查。
5. 如果用户未出现，请在 报告 > 系统日志 中查看日志并确认应用程序中的 SCIM 设置。

1. 在 Azure 门户中，转到 Microsoft Entra ID > 企业应用程序，然后选择您的 SCIM 应用程序。
2. 转到 供应 > 按需供应。
3. 选择一个用户或组，然后选择 供应。
4. 确认用户出现在 成员 下的 Docker 管理控制台中。
5. 如有需要，检查 供应日志 中是否有错误。