Externa användare

Du kan använda just-in-time (JIT) provisionering för att skapa externa användare och koppla dem till en extern identitet. En extern användare är kopplad till en autentiseringsmetod (OpenID Connect, SAML 2.0, External Login eller Environment Link) och kan endast autentiseras med den autentiseringsmetoden.
Användning av externa användare är valfritt; de skapas inte som standard.

Alla externa användare som är grupperade under en autentiseringsmetod är kopplade till samma claim typ (t.ex. sub claim typ) och användarna separeras av unika claim värden.

Med externa användare kan du lagra claims på varje användare. Till exempel lagra din user ID claim som representerar användaren i ditt system och därigenom mappa den externa user ID till din user ID.

En automatiskt genererad unik ID läggs som standard till varje extern användare.

För en översikt över användarkoncept (interna användare, externa användare och externa user stores) se användaröversikten.

Skapa extern användare

Beroende på vald autentiseringsmetods konfiguration ombeds nya användare valfritt att fylla i ett formulär för att skapa en användare.

Sidan består av dynamiska element som kan anpassas per autentiseringsmetod.
I detta exempel består skapa användare sidan av tre element: E-post, Förnamn och Efternamn, med e-post elementet överst.

Detta är konfigurationen i en OpenID Connect autentiseringsmetod.

Claim transformations kan läggas till som utförs precis innan den externa användaren skapas.

Om login sekvensen startas baserat på en login autentiseringsmetod, ger den grunden för UI look and feel (customize). Annars väljs standard login autentiseringsmetod som bas.

Provisionera och lösa in

Externa användare kan skapas, uppdateras och raderas med Control Client eller provisioneras via Control API.

Du känner förmodligen inte link claim värdet i förväg eftersom det är en extern user ID. Men om du gör det, är det möjligt att skapa användare och koppla dem till link claim värdet. Oftast känner du en redemption claim i förväg istället.

De externa användarna kan lösas in med en redemption claim typ (t.ex. email) och de kopplas sedan automatiskt till link claim typen. Det är dålig praxis att länka användare baserat på deras e-post under lång tid, eftersom e-post kan ändras. Men e-posten ändras troligen inte inom den korta redemption perioden.

När användaren har lösts in loggas den externa användaren därefter in baserat på link claim värdet.

Denna autentiseringsmetod är konfigurerad med email claim redemption och sub link claim typ.

Och användare läggs till med sin kända e-post som redemption claim värde.

I detta exempel är användaren kopplad till Google Workspace med en OpenID Connect autentiseringsmetod och en app_user_id claim läggs till med en intern user ID.

Du kan återställa en inlöst användare genom att radera link claim värdet och vid behov även ändra redemption claim värdet. Den externa användaren löses då in igen nästa gång användaren loggar in.