如何从OKTA发送SAML响应中的Active Directory组SID？

Question

是否可以在SAML响应中发送AD组SID？如果是，如何实现这一点以便我们可以在SP中处理该SID值？

然而，在将appuser.objectSid配置文件映射到user.manager后，我们能够在SAML响应中发送AD用户SID（因为我们没有找到user.objectSid）并将其添加到属性语句中。

有没有其他/更好的方法来获取SAML响应中的AD用户SID或以上是唯一的方法吗？

Answer 1

所以 - 你有2个问题：

1）组SID。 Okta确实有Group SID，但它没有作为SAML配置的一部分公开。您可以在应用程序向导（https://support.okta.com/help/articles/Knowledge_Article/Using-the-App-Integration-Wizard#Config_SAMLSettings）的SAML配置中配置组属性语句的一部分，发送用户所属组的名称

2）对于用户SID，它是2部分设置。首先，您要为Okta用户配置文件添加自定义属性。这样你就可以将appuser.objectSid从AD映射到这个自定义属性 - 而不是重载一些没有意义的现有okta属性。在应用程序向导SAML配置中，您可以向SAML断言添加新属性，并将其与新添加的自定义属性相关联。

这里完成了组/用户属性语句配置（应用程序向导SAML配置屏幕截图）

希望这有帮助。