Häufige Fragen zum Föderationssystem mit Trimble Identity

Sind mit einer Trimble ID-Föderation Kosten verbunden?

Die Trimble Identity Federation ist ein kostenloser Zusatzdienst zu Trimble ID. Kunden, die Trimble ID nutzen, können eine Föderation anfordern.

Wie läuft die Konfiguration einer Föderation ab?

Der Prozess der Konfiguration einer Föderation wird von Ihrem Identitätsanbieter und dem von Ihrer Organisation verwendeten Protokoll (SAML oder OIDC) bestimmt.

Ein Guided Federation-System wird für alle Kombinationen von unterstützten Identitätsanbietern und Protokollen konfiguriert (außer für Microsoft Entra ID mit OIDC,, das mehrmandantenfähig ist). Es gibt zwei Prozesse für eine Guided Federation, die durch das Protokoll Ihrer Organisation bestimmt wird.

SAML-geführte Föderation:

Abbildung 1. Prozess der SAML-Föderation mit Trimble ID

OIDC-geführte Föderation:

Abbildung 2. Prozess der OIDC-Federation mit Trimble ID

Was ist der Zeitrahmen ist für diesen Prozess?

Der Zeitrahmen für die Einrichtung der Föderation ist je nach Fall unterschiedlich und von verschiedenen Faktoren abhängig, z. B.:
  • Die Bereitschaft Ihrer Organisation
  • Der Reaktionsfähigkeit Ihres Teams bei der Bereitstellung von Informationen (Metadaten und andere für die ordnungsgemäße Einrichtung erforderliche Informationen) an das Trimble Federation-Team
  • Die aktuelle Arbeitsbelastung des Teams für Trimble-Föderationen

Welche föderierten Identitätsanbieter (IdP) werden zurzeit unterstützt?

Trimble ID unterstützt OIDC-Protokolle (Open ID Connect) und SAML-Protokolle. Dies sind Standardprotokolle, die von den meisten IdPs unterstützt werden, z. B. Microsoft Entra ID, Microsoft AD FS, Google und Okta.

Der Hauptunterschied zwischen diesen Protokollen ist, dass SAML eine XML-basierte Föderation verwendet, während OIDC JSON verwendet.

Darüber hinaus ist bei SAML eine Vorkonfiguration der Entitäten erforderlich, was eine robuste Konfiguration ermöglicht, während OIDC nur mit kompatiblen Identitätsanbietern arbeitet.
Anmerkung: Andere IdPs, die OAuth 2.0 unterstützen, sind ggf. ebenfalls konfigurierbar. Dies erfordert jedoch häufig eine zusätzliche IdP-Konfiguration durch Ihr Team. Wenn Sie diese Option wählen, verlängert sich in der Regel die Einrichtungszeit einer Trimble ID-Föderation.

Welche Ressourcen stehen bei Trimble ID-Föderationen zur Verfügung?

Rufen Sie zunächst das Trimble Hilfecenter ((help.trimble.com) auf, um Informationen über Trimble ID-Föderationen zu erhalten.

Sobald Sie sich mit dem Trimble ID-Föderationsteam in Verbindung gesetzt haben, nutzen Sie die dort angegebene E-Mail-Adresse für die weitere Kommunikation.

Können Benutzer, die mit dem Föderation-System eingerichtet sind, ihre MFA-Einstellungen ändern?

Dies wird durch die IdP-Konfiguration bestimmt.

Wohin sollten sich Benutzer wenden, wenn sie Probleme bei der Anmeldung über einen föderierten Identitätsanbieter haben?

Wenden Sie sich bei Fragen zur Anmeldung an den IdP-Administrator Ihrer Organisation.

Welcher Antwort-URL/welcher Umleitungs-URI ist für die Konfiguration des externen Föderationssystems für die OIDC-Föderation zu verwenden?

Trimble hat keinen gemeinsamen Umleitungsendpunkt.

Sobald das Team für Trimble ID-Föderationen die Föderationskonfiguration für Ihr Unternehmen abgeschlossen hat, stellt unser Supportteam einen eindeutigen Umleitungsendpunkt bereit. Dieser Endpunkt muss auf Ihrer Seite konfiguriert werden.

Wie kann die Anwendung erkennen, ob sich der Benutzer mit seinem eigenen Trimble ID-Konto oder als föderierter Benutzer angemeldet hat?

Sowohl die Identitätszugangs- als auch die ID-Tokens enthalten einen AMR-Claim, der angibt, ob sich der Benutzer mit einer föderierten Quelle angemeldet hat.

Außerdem enthält das ID-Token die Angabe „federation_origin“, was bedeutet, dass eine föderierte Quelle verwendet wurde. Die Client-Anwendungen können sich auf die obigen Angaben im Token beziehen, um die Quelle der Anmeldung zu bestimmen.

Gibt es eine Möglichkeit, alle von einer Föderation bereitgestellten Konten zu entfernen? Müssen wir die verknüpften Konten löschen?

Wenn Sie die Föderation von Ihrem Konto entfernen möchten, wählen Sie, welchen Ansatz Sie für Trimble wählen möchten.
  • Alle Konten in einer bestimmten Föderationsdomäne löschen
  • Konvertieren Sie alle Konten in systemeigene Trimble-Konten. In diesem Fall muss jeder Benutzer ein Kennwort über den normalen Identitätsanmeldungsablauf einrichten.

Bei der Verwendung von SAML erhalte ich diese Meldung: „Error! Error occurred in SAML Identity call due to: Request signing certificate not found.“ (Fehler! Fehler beim SAML-Identitätsaufruf aufgetreten aufgrund von: Zertifikat zum Signieren von Anfragen nicht gefunden.)

Die SAML-Implementierung für dieTrimble ID erfordert zurzeit, dass die bereitgestellten Metadaten ein Signierzertifikat enthalten.

Ihr Dienstanbieter sollte eine Konfigurationseinstellung namens „Enable signed request“ (Signierte Anfrage aktivieren) haben. Aktivieren Sie diese Konfigurationseinstellung.

Laden Sie dort die Metadaten für den Dienstanbieter (SP) erneut herunter. Die neuen Metadaten enthalten das erforderliche Zertifikat und Sie können es erneut versuchen.

Warum kann ein Unternehmensadministrator nicht die Einstellungen für die Datenresidenz für alle Trimble Identity Benutzer innerhalb des Unternehmens wählen? Wir wollen nicht, dass die einzelnen Benutzer dies selbst bestimmen können.

Die Einstellungen für die Datenresidenz eines Benutzers werden von demjenigen bestimmt, der die Daten des Benutzers kontrolliert, je nachdem, ob der Benutzer eine föderierte Identität hat oder nicht.
  • Wenn er nicht im Verbund ist, kontrolliert der Benutzer die Daten. Dieser Benutzer könnte mehreren Konten/Unternehmen angehören, die möglicherweise widersprüchliche Anforderungen an die Dateneinstellungen haben, sodass der Benutzer die Möglichkeit hat, seine Region nach Bedarf festzulegen.
  • Wenn der Benutzer föderiert ist, kontrolliert der Identitätsanbieter (IdP) des Benutzers die Daten. Bei der Föderation entscheidet das Unternehmen, welcher Region es seine Benutzer zuordnen möchte.
    Anmerkung: Die Föderation eines Unternehmens kann nur einer einzigen Region zugeordnet sein.