SSO-Leitfaden
Einführung
Die Integration von Single Sign-On (SSO) mit Zoom bietet Administratoren Benutzerverwaltung und Sicherheitsoptionen, die die Kontoverwaltung vereinfachen können. Nach der Konfiguration authentifizieren sich Benutzer mit ihren Unternehmensanmeldedaten bei Ihrem Identitätsanbieter statt mit alternativen Authentifizierungsmethoden wie Oauth über eine Drittanbieter-App oder über einen direkten Login mit Benutzername und Passwort bei Zoom.
Dieses Dokument bietet einen umfassenden Überblick über SSO-Konfigurationen und Einstellungen in Zoom sowie Informationen zur Fehlerbehebung und Sicherheit.
SSO konfigurieren
SSO erfordert zum Start eine Vanity-URL
Ein Konto muss vor der Konfiguration von SSO über eine genehmigte Vanity-URL verfügen. Sobald die Vanity-URL genehmigt ist, können Zoom-Administratoren auf die SSO-Konfiguration Seite über das Untermenü für erweiterte Optionen im Webportal zugreifen. Weitere Informationen finden Sie in unserem Support-Artikel zu Vanity-URLs für weitere Informationen.
Zoom SSO funktioniert mit jedem SAML 2.0- oder OIDC-Identitätsanbieter
Zoom kann sich in jeden Identitätsanbieter integrieren, der Security Assertion Markup Language (SAML) 2.0 oder OpenID Connect (OIDC) Authentifizierung unterstützt.
Zoom-Administratoren können Benutzerprofilinformationen und Lizenzen über Response-Mapping oder SCIM-Integrationen verwalten
Administratoren können Benutzerprofilinformationen und Lizenzierung über Antwortzuordnung oder über Anfragen an die Anwendungsprogrammierschnittstelle (API) von System for Cross-Domain Identity Management (SCIM) verwalten, abhängig davon, welche Funktionen vom Identitätsanbieter Verfügbar sind. Beide Benutzerverwaltungsmethoden bieten nahezu dieselbe Funktionalität für die Zuordnung von Profilinformationen und die Lizenzverwaltung, aber einige SCIM-Zuordnungen erfordern eine manuelle Konfiguration.
Für eine umfassende Liste der SCIM-Funktionen siehe unsere SCIM API-Dokumentation.
Zoom-Administratoren können den Status des Benutzer-Kontos über SCIM verwalten, aber nicht über SAML oder OIDC
Da SCIM es Identitätsanbietern ermöglicht, jederzeit direkt mit Zoom zu kommunizieren, können Benutzerkonten aktiviert, deaktiviert, erstellt, oder gelöscht durch SCIM-Integrationen automatisch. Wenn zum Beispiel ein Konto eines Benutzers in Active Directory deaktiviert ist oder wenn sie der Anwendung nicht zugewiesen sind, kann SCIM eine automatische Deaktivierungsanfrage für das Konto des Benutzers innerhalb von Zoom senden. Diese Funktion ist abhängig von den Funktionen der SCIM-Anwendung des Identitätsanbieters, und die Funktionalität kann je nach Anbieter variieren.
Eingeschränkte Identitätsanbieter bieten SCIM für Zoom an
Viele Identitätsanbieter haben keine SCIM-Integration für Zoom als Teil ihrer Dienste entwickelt. Konten, die einen Identitätsanbieter verwenden, der SCIM mit Zoom nicht unterstützt, müssen Response-Mapping für die automatisierte Benutzerverwaltung verwenden.
SCIM erfordert eine zugehörige Domäne, um Benutzer automatisch bereitzustellen
Konten, die SCIM verwenden, um Benutzer für SSO zu verwalten und bereitzustellen muss Ordnen Sie die E-Mail-Domain Zoom zu. Wenn die Domain nicht zugeordnet wird, führt dies zu Fehlern bei der Benutzerbereitstellung. Siehe unseren Support-Artikel zu zugehörige Domänen für weitere Informationen zum Ablauf.
SAML-Konfigurationsleitfaden
Die folgenden Links enthalten Anleitungen zur Konfiguration von SSO mit SAML.
Zoom-Tipp
Klicken Sie auf das ✔ in der Spalte Anbieter oder Zoom-Dokumentation, um ein neues Fenster mit den Anweisungen zu öffnen.
Wenn der Identitätsanbieter, den Ihr Business verwendet, oben nicht aufgeführt ist, empfehlen wir, in der Wissensdatenbank des Anbieters nach einem Zoom-spezifischen Integration-Leitfaden zu suchen. Falls einer nicht Verfügbar ist, kann SSO dennoch konfiguriert werden, indem die wichtigsten Kennungen aus Ihrem IdP innerhalb von Zooms SSO-Konfigurationsbildschirm abgeglichen werden. Weitere Informationen finden Sie im Zoom Support-Center zu einem Schnellstartanleitung für SSO und welche Informationen erforderlich sind, um diesen Prozess abzuschließen.
OIDC-Konfigurationsleitfaden
Zoom unterstützt die OIDC-Erkennung, die gängige Angaben zum Identitätsanbieter wie den Aussteller, den Autorisierungs-Endpunkt, den Token-Endpunkt und Signaturschlüssel automatisch ausfüllen kann. Da OIDC auf standardisierten Konfigurationswerten basiert, ist Zoom-spezifische Dokumentation zum Anbieter im Allgemeinen nicht erforderlich; wenn die Erkennung nicht verfügbar ist, können die erforderlichen Werte manuell eingegeben werden.
Daher können standardkonforme OIDC-Identitätsanbieter im Allgemeinen mit Zoom konfiguriert werden, auch wenn kein anbieterspezifischer Leitfaden zur Integration verfügbar ist. Weitere Informationen zu finden Sie im Zoom-Support-Center unter Konfigurieren von OIDC-SSO.
Zusätzliche Konfigurationsoptionen
Zoom kann mehrere Vanity-URLs und/oder mehrere Anwendungen von Identitätsanbietern unterstützen
Zoom-Konten können mehrere Vanity-URLs, mehrere Konfigurationen von Identitätsanbietern (IdP) oder eine Kombination aus beidem unterstützen. Unterstützte Konfigurationen umfassen:
Mehrere Vanity-URLs, die eine gemeinsame IdP-Konfiguration verwenden.
Mehrere Vanity-URLs, jeweils mit einer unabhängigen IdP-Konfiguration.
Eine einzelne Vanity-URL, die mehreren IdP-Konfigurationen zugeordnet ist.
Diese Konfigurationen werden über den Zoom-Support aktiviert und nicht über die standardmäßige SSO-Verwaltungsoberfläche konfiguriert. Senden Sie ein Support-Anfrage um diese Funktion zusammen mit der gewünschten Vanity-URL und IdP-Konfiguration sowie dem beabsichtigten Authentifizierungsergebnis zu aktivieren.
Lokales Active Directory kann das AD Sync-Tool anstelle von SCIM verwenden
Konten, die die Benutzerbereitstellung mithilfe von SCIM automatisieren möchten, aber keinen cloudbasierten Identitätsanbieter haben, können die Active Directory (AD) Sync Tool-Anwendung verwenden, die von Zoom für die Verwaltung ihrer Benutzer entwickelt wurde. Diese Anwendung wird auf Oracle JDK 8 ausgeführt und simuliert die SCIM-Bereitstellung, indem sie Benutzer über API-Befehle verwaltet. Siehe unseren Support-Artikel zu dem AD Sync-Tool für weitere Informationen.
Zoom-Empfehlung
Das AD Sync-Tool erfordert eine präzise Konfiguration für Benutzerverwaltung. Um eine Unterbrechung des Dienstes zu vermeiden, sind gründliche Tests und eine Überprüfung der Konfiguration des Tools erforderlich, bevor die vollständige Implementierung erfolgt.
Identitätsanbieter können sogar Meeting-Teilnehmer authentifizieren, die kein Zoom-Konto haben
Konten, die von Benutzern verlangen möchten, ihre Identität zu authentifizieren, aber keine Zoom-Konten bereitstellen möchten, können mit ihrem Identitätsanbieter ein externes Authentifizierungsprofil Konfigurieren. Wenn es für ein Meeting aktiviert ist, müssen Benutzer, die beitreten möchten, ihre Anmeldedaten bei Ihrem Identitätsanbieter authentifizieren, um Access zu erhalten. Dies ist eine gängige Konfiguration für Schulen, die nicht allen Schülern Konten bereitstellen, aber Authentifizierung für das Beitreten zu Klassen verlangen. Lesen Sie unseren Support-Artikel zu Konfigurieren externer Authentifizierung für weitere Informationen.
Das Ändern des Identitätsanbieters erfordert eine erneute Konfiguration von SSO innerhalb von Zoom
Konten, die den Identitätsanbieter ändern, müssen ihre SSO-Konfiguration innerhalb von Zoom erneut durchführen. Dazu gehört die Aktualisierung aller Felder auf der Konfigurationsseite, damit sie mit ihrem neuen Identitätsanbieter übereinstimmen. Konten wird empfohlen, zu bestätigen, dass sich die Antwortzuordnungen mit dem neuen Identitätsanbieter nicht ändern.
Es sollten keine zusätzlichen Konfigurationen oder Änderungen erforderlich sein, sofern es keine weiteren Änderungen gibt.
Kunden mit Unterkonten können SSO vom Hauptkonto oder vom Unterkonto aus Konfigurieren
Kunden mit Unterkonten haben zwei Optionen für das Konfigurieren von SSO:
Alle Benutzer authentifizieren sich mit der Vanity-URL des Hauptkontos und werden über erweitertes Response-Mapping automatisch im Unterkonto angemeldet (es gelten einige Mapping-Einschränkungen)
Jedes Unterkonto hat eine eindeutige Vanity-URL und eine unabhängige SSO-Konfiguration, die ausschließlich von Mitgliedern dieses Unterkontos verwendet wird
Jede Konfiguration bietet einzigartige Vorteile, wobei die zweite Option die größte Flexibilität bietet. Kunden, die die Implementierung einer der beiden Konfigurationen in Betracht ziehen, sollten mit ihrem Konto-Team besprechen, welche Konfiguration am besten für ihre Anforderungen geeignet ist.
Bereitstellungsmethoden
Bereitstellungsmodi und SCIM sind zwei verschiedene Mechanismen, und sie können zusammen verwendet werden
Bereitstellung Bei der Anmeldung und Vor der Anmeldung sind die zwei Verfügbaren Werte einer einzelnen SSO-Einstellung. Sie steuern, ob Zoom für einen Benutzer im Moment seiner Authentifizierung ein Konto erstellt oder verlangt, dass das Konto bereits existiert. SCIM ist kein dritter Wert dieser Einstellung — es ist ein separater, API-gesteuerter Mechanismus, der Benutzer unabhängig von der Authentifizierung bereitstellt und parallel zu dem jeweils ausgewählten Bereitstellungsmodus arbeitet.
Bei der Anmeldung (Just-in-time)
Erstellt das Konto, wenn sich der Benutzer zum ersten Mal authentifiziert
Keine
Ja
Nein
Vor der Anmeldung (Vorabbereitstellung)
Überprüft, ob ein Benutzer berechtigt ist, sich über SSO anzumelden
Ein Konto mit dem SSO-Anmeldetyp. Wird oft mit SCIM-Bereitstellung verwendet.
Nein, aber es wird oft mit SCIM verwendet
Nein, aber es wird oft mit SCIM verwendet
SCIM
Synchronisiert Benutzerdaten vom Identitätsanbieter nach eigenem planen über APIs
IdP-SCIM-Support und eine zugehörige Domäne
Ja
Ja, wenn dies vom IdP unterstützt wird
Bei der Anmeldung
Bereitstellung bei der Anmeldung erstellt das Konto und den SSO-Anmeldetyp in einem einzigen Schritt
Mit der Bei der Anmeldung Einstellung (auch als Just-in-Time-Bereitstellung bekannt) wird für einen Benutzer, dem innerhalb des Identitätsanbieters die Zoom-Anwendung zugewiesen ist und der eine unterstützte Zoom-Lizenz erhält, bei der ersten Authentifizierung ein Konto erstellt. Vorher muss in Zoom nichts vorhanden sein. Dadurch ist dies die einfachste Option zum Einrichten und der Grund, warum sie beim ersten Konfigurieren von SSO auf einem Konto empfohlen wird.
Bereitstellung bei der Anmeldung ist auch mit SCIM kompatibel — beide können gleichzeitig ausgeführt werden. In der Praxis macht SCIM sie jedoch meist überflüssig, da Konten bereits existieren, wenn sich ein Benutzer zum ersten Mal authentifiziert.
Vor der Anmeldung
Die Bereitstellung vor der Anmeldung hängt davon ab, dass etwas anderes zuvor das Konto oder den Anmeldetyp erstellt hat
Die Vor der Anmeldung Die Einstellung (auch als Vorbereitstellung bekannt) stellt nichts automatisch bereit. Stattdessen setzt sie eine Bedingung durch: Ein Benutzer darf sich nur authentifizieren, wenn sein Zoom-Konto bereits existiert und den SSO-Anmeldetyp hat. Daher muss etwas anderes für das Erstellen dieser Konten verantwortlich sein, und es gibt zwei praktische Optionen.
SCIM-Bereitstellung, wodurch Konten automatisch vom Identitätsanbieter erstellt werden, wenn Benutzern die Anwendung zugewiesen wird.
Massen-CSV-Upload mit dem SSO Benutzer ausgewählt, wodurch Konten erstellt und der SSO-Anmeldetyp in einem einzigen Import angewendet wird.
Deshalb werden Vorbereitstellung und SCIM so häufig zusammen verwendet. Vorbereitstellung formuliert eine Anforderung; SCIM ist der Mechanismus, der sie im großen Maßstab erfüllt.
Zoom-Administratoren können bestätigen, ob ein Konto einen SSO-Anmeldetyp hat, indem sie das Benutzerkonto auf der Benutzerverwaltung Seite im Webportal ansehen und nach dem „SSO“-Symbol unterhalb der E-Mail des Benutzers suchen.
Wenn das Symbol vorhanden ist, ist der Benutzer für SSO bereitgestellt; wenn das Symbol fehlt, kann sich der Benutzer nicht über SSO anmelden, solange die Vorabbereitstellung aktiviert ist, bis es hinzugefügt wird. Ein Zoom-Administrator kann diesen Anmeldetyp hinzufügen, indem er Benutzer in großen Mengen über eine CSV-Datei hinzufügt und die Option „SSO-Benutzer“ auswählt oder den Benutzer authentifizieren lässt, während Provision at Anmelden aktiviert ist.
SCIM
SCIM stellt Benutzer über APIs bereit und bestätigt niemals Identitätswerte wie SAML oder OIDC
SCIM unterscheidet sich von Response-Mapping auf eine Weise, die man klar benennen sollte. Response-Mapping — ob über SAML-Assertions oder OIDC-Ansprüche — enthält Benutzerinformationen als Teil eines Authentifizierungs-Events. Es wird nichts angewendet, bis sich der Benutzer anmeldet, und die Informationen werden innerhalb der Assertion übertragen.
SCIM enthält überhaupt keine Zusicherungen oder Behauptungen. Der Identitätsanbieter ruft Zooms API direkt nach eigenem planen auf und sendet Benutzerinformationen, unabhängig davon, ob sich der Benutzer jemals angemeldet hat. Das ermöglicht es SCIM, Konten ohne Beteiligung des Benutzers zu erstellen, zu aktualisieren, zu deaktivieren und zu löschen, und deshalb kann SCIM den Kontostatus verwalten, während response mapping das nicht kann.
SCIM ist mit beiden Bereitstellungsmodi kompatibel und wird am häufigsten zusammen mit der Vorabbereitstellung eingesetzt.
Siehe die SCIM für Entra ID und Okta Feldleitfaden für weitere Informationen zur Konfiguration von SCIM für Ihr Konto mit Entra ID oder Okta.
Zoom-Empfehlung
Wenn Sie SSO und SCIM zusammen auf einem neuen Konto konfigurieren, Aktivieren Bereitstellung bei der Anmeldung zuerst. Es hilft sicherzustellen, dass Benutzer sich authentifizieren können, während die SCIM-Integration noch validiert wird. Sobald Sie bestätigt haben, dass SCIM Konten mit dem angewendeten SSO-Anmeldetyp erstellt, wechseln Sie zu Vor der Anmeldung wenn die strengere Kontrolle gewünscht ist.
Sicherheitseinstellungen
Zoom-Administratoren können eine automatische Abmeldung nach einer festgelegten Zeitdauer erzwingen
Zoom-Administratoren können Zoom konfigurieren, um Benutzer nach festgelegten Zeitspannen automatisch aus aktiven Sitzungen abzumelden, anpassbar von 15 Minuten bis 180 Tagen. Dieser Vorgang setzt fest, dass das Zoom Access Token nach der vorgegebenen Dauer abläuft, sobald das Token generiert wird. Dieses Token steht in keinem Zusammenhang mit einem Identitätsanbieter und ist ausschließlich für Zoom bestimmt.
Eine Domäne muss zugeordnet und verwaltet werden, um SSO-Authentifizierung durchzusetzen
Zoom-Administratoren können SSO-Authentifizierung durchsetzen nur wenn die E-Mail-Domäne in Zoom zugeordnet und verwaltet wird. Wenn dies aktiviert ist, werden alle Benutzer, die sich mit Ihrer Firmendomäne(n) authentifizieren, automatisch zur Authentifizierungsseite Ihres Identitätsanbieters weitergeleitet, unabhängig von der Plattform.
Sobald die Domäne genehmigt und verwaltet ist, kann ein Zoom Administrator SSO-Authentifizierung über Ihre Sicherheitsseite unter Anmeldemethoden. Lesen Sie unseren Support-Artikel zu zugehörige Domänen für weitere Informationen zum Zuordnen und Verwalten einer Domäne.
Bestimmte Benutzer können von der erzwungenen SSO-Authentifizierung ausgenommen werden
Zoom-Administratoren können bestimmte Benutzer von der erzwungenen SSO-Authentifizierung ausschließen. Das Ausschließen bestimmter Benutzer (z. B. eines Administratorkontos) kann nützlich sein, wenn eine SSO-Konfiguration fehlschlägt und ein Kontoadministrator Nicht-SSO-Zugriff auf das Zoom-Konto benötigt. Ausgenommene Administratoren können sich jederzeit bei Administrator.zoom.us anmelden, im Event einer Kontosperrung oder einer fehlerhaften SSO-Konfiguration (der Benutzer muss den Standard Administrator Rolle). Wenn ein Zoom-Administrator nicht auf das Konto zugreifen kann, muss er Kontakt mit dem Zoom-Support aufnehmen, um Unterstützung zu erhalten.
Um eine Benutzer-Ausnahme zu Aktivieren, navigieren Sie zum Konto Sicherheitsseite Im Webportal unter den erweiterten Optionen die Liste der erzwungenen Domänen suchen und das Hinzufügen einer Ausnahme über die Bearbeitungsliste vornehmen.
Mobile und Desktop-Clients können so konfiguriert werden, dass von Benutzern die Verwendung von SSO-Authentifizierung verlangt wird
Zoom-Clients können vorkonfiguriert werden, um SSO-Funktionen zu automatisieren, einschließlich automatischer Anmeldung, automatischer Abmeldung, SSO-only-Authentifizierung auf dem Gerät und mehr über Gruppe-Richtlinien, Dienste für die Verwaltung mobiler Geräte (MDM) und Clients für Massenbereitstellung.
Eine vollständige Liste der Konfigurationsmöglichkeiten finden Sie in unseren Konfigurationsoptionen für Richtlinie der Gruppe, iOS, Android, Mac und Windows.
Office 365-Benutzer können sich mit SSO-Zugangsdaten automatisch bei der Zoom für Outlook-Add-in anmelden
Kunden, die Office 365 verwenden, können ihre Benutzer automatisch mit SSO-Anmeldeinformationen in das Zoom für Outlook Add-in anmelden. Dies kann mit einer benutzerdefiniertes Hinzufügen-in-Manifest das die Vanity-URL des Kontos vorausfüllt und so eine nahtlose Authentifizierungserfahrung für Benutzer schafft. Diese Funktion verwendet das SSO-Sitzung-Token des Benutzers, wenn es aktiv ist, oder fordert eine neue Authentifizierung bei Ihrem Identitätsanbieter an, wenn keine aktive Sitzung gefunden wird.
Ein Zoom-Administrator kann diese Einstellung im Konto Aktivieren Sicherheitsseite unter dem erweitert Menü.
Antwortzuordnung
Bei der Antwortzuordnung, Attribute sind Datenkategorien, die definiert werden durch Werte, und werden verwendet, um Informationen vom Identitätsanbieter an einen Dienstanbieter wie Zoom zu übermitteln. Das Zuordnen von Attributen und Werten ist für die Automatisierung von Benutzerprofilinformationen und die Verwaltung von Benutzerlizenzen unerlässlich.
Zoom-Response-Mapping ist in zwei Hälften unterteilt: grundlegend und erweitert. Die Basic-Zuordnung wird verwendet, um grundlegende Profilinformationen, einschließlich Name, Telefonnummer, Abteilung usw., zuzuordnen, während die erweiterte Zuordnung verwendet wird, um dynamische Lizenzzuweisungen zu verwalten, Zuweisen von Benutzergruppen, Benutzerrollen und mehr.
Dieser Abschnitt behandelt die Grundlagen des Basic- und des erweiterten Response-Mappings und hebt die besonderen Bedingungen hervor, die für einige Funktionen erforderlich sind.
Zoom unterstützt Response-Mapping sowohl über SAML als auch über OIDC
Zoom unterstützt das Konfigurieren von Response-Mapping entweder über SAML oder OIDC. SAML-Identitätsinformationen werden in XML-formatierten Assertions ausgetauscht, während OIDC-Identitätsinformationen über JSON Web Key-Sets (JWKs) bereitgestellt werden. In beiden Fällen kann Zoom die Attribute oder Claims verwenden, die vom Identitätsanbieter empfangen werden, um Benutzerprofilinformationen, Lizenzen, Gruppen und andere unterstützte Konto-Einstellungen zuzuordnen.
Grundlagen: Attribute und Werte
Die meisten Identitätsanbieter übermitteln grundlegende Profilinformationen mithilfe einfacher Attributnamen und -werte. Beispielsweise kann die Abteilung eines Mitarbeiters über ein Attribut mit dem Namen department und einen Wert von Human Resources übermittelt werden. Die folgende Tabelle zeigt die Beziehung zwischen Attributen und Werten beim Übermitteln von Informationen zu einem Benutzer.
Vorname
John
Nachname
Smith
john.smith@companydomain.com
Abteilung
Personalabteilung
Durch die korrekte Zuordnung eines Attributs zu einer Antwortzuordnung können Benutzerinformationen automatisch auf ein Benutzerprofil angewendet werden, um den Prozess der Kontoerstellung und -verwaltung zu vereinfachen.
Basic-Zuordnung: Profilinformationen
Basic Mapping wird verwendet, um Profilinformationen wie Vorname, Nachname, Abteilung, Telefonnummer, Kostenstelle und Standort aus einem Verzeichnis auf das Benutzerprofil zu übertragen. Viele dieser Kategorien sind selbsterklärend und können leicht konfiguriert werden; einige Kategorien erfordern jedoch eine Erklärung, um die richtige Konfiguration zu gewährleisten und unvorhergesehene Konsequenzen oder Fehler der Anwendung zu verhindern. Der folgende Abschnitt hebt einzigartige Zuordnungsoptionen und Konfigurations-Einstellungen für Basic Mapping hervor. Weitere Informationen finden Sie in unserem Artikel zu Basic Mapping für eine vollständige Liste der unterstützten Attribute.
Die Option für den standardmäßig festgelegten Lizenztyp gilt nur für brandneue Benutzer
Die Option für den standardmäßig festgelegten Lizenztyp wendet die zugewiesene Lizenz auf alle brandneu Benutzer, die im Konto durch die Erst-Authentifizierung bereitgestellt werden. Dies gilt nicht für Benutzer, die sich ein zweites Mal authentifizieren, Benutzer, die aus einem vorherigen Konto in das Konto zusammengeführt wurden, Benutzer, die über SCIM bereitgestellt werden, oder Benutzer, die manuell eingeladen wurden.
Für Informationen zu Aktualisieren Bei Benutzerlizenzen mit Authentifizierung siehe die Lizenzkonfiguration unter Erweiterte Zuordnung.
Ein standardmäßiger Lizenztyp von Keine wird neuen Benutzern nicht zulassen, sich zu authentifizieren, es sei denn, die erweiterte Zuordnung ist so konfiguriert, dass sie das Zuweisen einer Lizenz ermöglicht
Zoom-Benutzer müssen einen zugewiesenen Lizenztyp haben (Nicht zugewiesen ohne Zoom Meetings Basic, Zoom Workplace usw.), um sich beim Zoom-Dienst anzumelden. Wenn ein standardmäßiger Lizenztyp von None ausgewählt ist, können neue Benutzer sich nicht anmelden oder ein neues Konto erstellen, es sei denn, sie erhalten eine Lizenz über Erweiterte Zuordnung.
Die meisten grundlegenden Zuordnungen werden bei der Anmeldung erneut angewendet, sofern nicht anders angegeben
Die meisten grundlegenden Zuordnungen werden standardmäßig bei jeder Anmeldung eines Benutzers aktualisiert, außer für Vorname, Nachname, Name zum anzeigen und Telefonnummer. Standardmäßig werden diese vier Zuordnungen nur beim ersten Mal angewendet, wenn sich ein Benutzer authentifiziert, und werden nicht erneut angewendet, selbst wenn sie von einem Benutzer oder Administrator aktualisiert werden. Zoom-Administratoren können dieses Verhalten durch das Ändern der Einstellung ändern, indem sie die Option für Bei jeder SSO-Anmeldung aktualisieren auf der Seite zur Antwortzuordnung.
Telefonnummernzuordnungen sollten einen Ländercode und eine Vorwahl enthalten, wenn sie außerhalb der Vereinigten Staaten liegen
Telefonnummern, die über Assertions zugeordnet werden, sollten nach Möglichkeit den Ländercode und die Vorwahl des Benutzers enthalten. Zoom geht standardmäßig von einem Ländercode +1 aus, wenn keiner definiert ist.
Konten, die Ländercodes nicht in ihrem Verzeichnis beibehalten, können ihre Assertions in ihrem Identity Provider bearbeiten, um diese bei Bedarf automatisch einzuschließen.
Jedem Benutzer können bis zu drei Telefonnummern und eine Faxnummer seinem Profil zugeordnet werden
Zoom-Administratoren können für jeden Benutzer bis zu drei separate Telefonnummern und eine Faxnummerzuordnung Konfigurieren. Jede Telefonnummer muss eindeutig sein und darf den Wert eines anderen Feldes nicht duplizieren.
Profilbilder müssen entweder aus einer öffentlich zugänglichen URL zugeordnet oder mit Base64 codiert sein
Konten, die Profilbilder aus ihrem Verzeichnis zuordnen möchten, müssen die Bilder entweder über eine öffentlich zugängliche URL zuordnen oder das Bild bei der Assertion in Base64 kodieren.
Eindeutige Mitarbeiter-ID
Die Mitarbeiter-Unique-ID ändert die primäre Kennung, die Zoom zur Identifizierung von Benutzern verwendet, und hilft, doppelte Benutzerkonten nach einer E-Mail-Änderung zu verhindern.
Die Eindeutige Mitarbeiter-ID ist eine Funktion, die Zoom anbietet, um bei der Identitätsverwaltung zu helfen. Standardmäßig ist die primäre Kennung für einen Zoom Benutzer ihre E-Mail Adresse. Dies bedeutet, dass, wenn der Anmeldetyp für die geschäftliche E-Mail-Adresse ist john.smith@company.com, dann wird Zoom diesen Benutzer immer über diese E-Mail-Adresse identifizieren. Diese Kennung ermöglicht es, dass Integrationen wie SSO oder Facebook- und Google OAuth-Konto den Benutzer mit dem gleichen Zoom-Konto verknüpfen.
Allerdings kann dieser Identifizierungsprozess problematisch sein, wenn sich der Name oder die E-Mail eines Benutzers ändert. Zum Beispiel, wenn john.smith@company.com hat ein E-Mail-Ändern zu jonathan.smith@company.com, Zoom kann nicht sicher bestimmen, dass es sich um dieselbe Person handelt (weil die grundlegende Kennung unterschiedlich ist), daher wird Zoom beim ersten Mal ein neues Konto erstellen jonathan.smith@company.com meldet sich an.
Um dieses Problem zu vereinfachen, bietet Zoom die Funktion „Eindeutige Mitarbeiter-ID“ an, die die primäre Kennung eines Benutzers von seiner E-Mail-Adresse auf eine festgelegte eindeutige ID ändert. Dies bewirkt kein Ändern des Zoom-Benutzernamens eines Benutzers, sondern bietet stattdessen ein alternatives identifizierendes Attribut. Dieses Ändern ermöglicht Zoom, die E-Mail-Adresse eines Benutzers innerhalb von Zoom dynamisch zu aktualisieren, wenn:
ein neu die E-Mail-Adresse von einer bekannten Eindeutigen Mitarbeiter-ID begleitet wird; und
die E-Mail-Domain des betroffenen Benutzers ist innerhalb von Zoom verknüpft
Wenn zum Beispiel john.smith@company.com sich authentifiziert und für das Attribut „Eindeutige Mitarbeiter-ID“ einen Wert von 12345 (seine Mitarbeiternummer) übergibt, identifiziert Zoom den Benutzer im Konto nun anhand des angegebenen Werts. Wenn John sich erneut über die E-Mail jonathan.smith@company.com authentifiziert und weiterhin die eindeutige Mitarbeiter-ID 12345 übergibt, erkennt Zoom, dass john.smith@company.com jetzt jonathan.smith@company.com ist, und aktualisiert die E-Mail des Benutzers im Konto dynamisch, wenn die Domäne zugehörig ist.
Identitätsadministratoren sollten sicher sein dass keine zwei Benutzer denselben Wert für die eindeutige Mitarbeiter-ID verwenden, bevor eine Zuordnung für diese Kategorie eingerichtet wird. Wenn sich ein anderer Benutzer authentifiziert und denselben Wert übergibt, wird die E-Mail erneut auf den neuen Benutzer aktualisiert, was zu erheblichen Beeinträchtigungen der Benutzerdienste und der Benutzererfahrung führen kann.
Die Funktion „Eindeutige Mitarbeiter-ID“ erfordert zugehörige Domänen, um die E-Mail eines Benutzers zu Ändern
Die Funktion „Eindeutige Mitarbeiter-ID“ kann die E-Mail-Adresse eines Benutzers nicht aktualisieren, es sei denn, die E-Mail-Domäne ist offiziell mit Ihrem Kontoprofil verknüpft. Weitere Informationen finden Sie in unserem Support-Artikel zu zugehörige Domänen für weitere Informationen.
Administratoren und Kontoinhaber können ihre E-Mail nicht über die eindeutige Mitarbeiter-ID aktualisieren
Administrator- und Inhaber-E-Mails innerhalb von Zoom können nicht über die Funktion „Mitarbeiter-Unique-ID“ aktualisiert werden. Dies ist als Sicherheitsmaßnahme vorgesehen, um unbefugten Access zu verhindern. Administratoren und Inhaber müssen zum Ändern ihrer E-Mail ihre Profilseite verwenden.
Benutzer-E-Mails können über die Mitarbeiter-Unique-ID nur einmal täglich aktualisiert werden
Benutzer-E-Mails können über die Funktion „Mitarbeiter-Unique-ID“ nur einmal innerhalb von 24 Stunden aktualisiert werden. Ein Benutzer muss nach der vorherigen Aktualisierung einen vollen Kalendertag warten, bevor er seine E-Mail erneut über SSO aktualisiert.
Durch Festlegen des Attributs auf <NameID> wird die bestätigte NameID des Benutzers verwendet
Zuordnung des Attributs „Mitarbeiter-Unique-ID“ zu <NameID> verwendet automatisch den bestätigten NameID-Wert des Benutzers als seine eindeutige Kennung. Dies kann ein hilfreiches Tool sein, wenn Ihr Identitätsanbieter eine andere NameID als die E-Mail eines Benutzers bestätigt, beispielsweise einen Benutzerprinzipalnamen (UPN) oder einen ähnlichen Wert, der sich nicht ändert. Verwenden Sie diesen Wert nicht, wenn die NameIDs der Benutzer mit ihren E-Mail-Adressen übereinstimmen.
Erweiterte Zuordnung: Lizenzen und Hinzufügen-ons
Im Abschnitt „Erweiterte Informationszuordnung“ können Lizenzen (einschließlich Zoom Phone), Hinzufügen-ons und Benutzer-Access-Gruppen dynamisch auf Benutzer angewendet werden, wenn sie sich authentifizieren. Im Gegensatz zur Basic-Zuordnung enthält die erweiterte Zuordnung viele Besonderheiten, die je nach Komplexität Ihrer Umgebung beim Konfigurieren sorgfältige Aufmerksamkeit erfordern können. In diesem Abschnitt werden die Besonderheiten beim Konfigurieren der erweiterten Antwortzuordnung hervorgehoben. Weitere Informationen finden Sie in unserem Artikel zur erweiterten Zuordnung für eine vollständige Liste der unterstützten Attribute.
Die erweiterte Zuordnung wird bei jeder Authentifizierung eines Benutzers angewendet
Im Gegensatz zur Basic-Zuordnung, die für einige Kategorien optionale Aktualisierungen bietet, werden Konfigurationen der erweiterten Zuordnung bei jeder Authentifizierung eines Benutzers gemäß der Reihenfolge der Anwendung von oben nach unten angewendet.
Wenn ein Benutzer beispielsweise über eine Basic-Lizenz verfügt und sich dann über SSO authentifiziert, wobei ein Attribut und ein Wert übergeben werden, die der Zuweisung einer vollständigen Lizenz zugeordnet sind, erhält der Benutzer sofort die vollständige Lizenz. Wenn das Profil des Benutzers dann beim Identitätsanbieter geändert wird, um ihn wieder einer Basic-Lizenz zuzuordnen, wird ihm die Basic-Lizenz erneut zugewiesen, sobald er sich wieder bei Zoom authentifiziert.
Die erweiterte Zuordnung ermöglicht mehrere Attribute und Werte pro Kategorie
Im Gegensatz zur Basic-Zuordnung, die nur ein Attribut pro Kategorie zulässt, kann die erweiterte Zuordnung mehrere Attribute und Werte für jede Kategorie unterstützen. Dies ermöglicht erhebliche Flexibilität bei der Verwaltung von Benutzer-Lizenzierung und Access über Sicherheitsgruppen innerhalb Ihres Identitätsanbieters, wie in der folgenden Konfiguration dargestellt.
Zoom-Tipp
Attribute können je nach Identitätsanbieter variieren, insbesondere bei Sicherheitsgruppen. Bestätigen Sie bei Ihrem Identitätsanbieter oder über Antwortprotokolle wie Attribute bestätigt werden.
Die erweiterte Zuordnung wendet Lizenzen von oben nach unten an, wenn mehrere Attribute bestätigt werden
Wenn ein Benutzer mehrere Attribute oder Werte übergibt, die für die erweiterte Zuordnung konfiguriert sind, ordnet Zoom die Lizenzen von oben nach unten zu. Siehe folgendes Beispiel:
Wenn ein Benutzer gemäß der obigen Konfiguration ein Attribut sowohl für global_users und marketing, weil marketing in der Konfiguration am höchsten steht, wird dieses Attribut auf den Benutzer angewendet, und die übrigen zutreffenden Attribute werden ignoriert.
Alternativ, wenn die Konfiguration mit global_users als höchstem Wert festgelegt wäre, wie im folgenden Screenshot dargestellt, und die Bestätigung eines Benutzers global_users, marketing, human resources, und IT, weil global_users als höchste Priorität aufweist, wird nur eine Basic-Lizenz bestätigt.
Zoom-Administratoren können die Reihenfolge der Anwendung beim Bearbeiten der Zuordnungswerte mithilfe der Pfeile ↑↓ im Editor anpassen.
Zoom-Empfehlung
Konfigurieren Sie die erweiterten Konfigurationen von der spezifischsten zur allgemeinsten, um eine falsche Lizenzzuweisung zu verhindern.
Webinar- und Large Meeting-Zuordnungen können einen gemeinsamen Wert verwenden, um beide Hinzufügen-ons anzuwenden
Zur Vereinfachung des Anwendungsprozesses können Zoom-Administratoren zum Konfigurieren beider Webinar- und Large Meeting-Hinzufügen-ons für die Benutzer dasselbe Attribut und denselben Wert zweimal verwenden, wie im folgenden Bild mit dem global_users Wert dargestellt. Diese Hinzufügen-ons können bei Bedarf auch unabhängig voneinander konfiguriert werden, wie mit dem Webinar_only und large_Meeting_only Werten.
Angegebene Benutzer und Benutzergruppen können von bestimmten Zuordnungen ausgenommen werden
Jede Option unter „Erweiterte Zuordnung“ kann so konfiguriert werden, dass bestimmte Benutzer und Benutzergruppen vom Zuordnungsverhalten ausgenommen werden. Dies kann hilfreich sein, um VIP-Benutzer vor Dienstunterbrechungen aufgrund einer möglichen Änderung der Lizenzierung zu schützen.
Zoom unterstützt bis zu fünf benutzerdefinierte Attribute
Zoom-Administratoren können bis zu Konfigurieren fünf Benutzerdefinierte Attribute zum Hinzufügen von Benutzerdaten zu ihrem Zoom-Profil unter dem erweiterte Benutzerverwaltung Seite. Nachdem die benutzerdefinierten Felder hinzugefügt wurden, können Zoom-Administratoren die Zuordnung auf der Konfigurieren Antwortzuordnung Seite.
Das Zuordnen von Benutzern zu einem Unter-Konto wird nur eine Meeting Lizenz anwenden und Hinzufügen-Erweiterungen
Die Zuordnung eines Benutzers zu einem Unterkonto wendet nur die Meeting-Lizenz und Hinzufügen-ons des Benutzers wie Webinar und Große Meetings auf das Unterkonto an. Benutzergruppen, IM-Gruppen, Benutzerrollen usw. werden nicht angewendet und müssen innerhalb des Unterkontos konfiguriert werden.
Kunden, die bei der Antwortzuordnung mit Unterkonten mehr Flexibilität benötigen, benötigen eine eindeutige Vanity-URL und eine neue SSO-Konfiguration innerhalb des Unterkontos.
Erweiterte Zuordnung: Zuweisung von Benutzern und Kontaktgruppen
Die Zuweisung von Benutzergruppen und Kontaktgruppen ist der einzige Bereich der erweiterten Zuordnung, der in zwei unterschiedlichen Modi arbeitet: Standardzuordnung und Mehrfachzuordnung.
Standardzuordnung wendet nur eine einzige Übereinstimmung an. Ein Administrator kann viele Attribut-und-Wert-Paare Konfigurieren, aber wenn sich ein Benutzer authentifiziert, wird nur der erste übereinstimmende Eintrag wirksam und der Rest wird ignoriert. Das Erreichen eines bestimmten Ergebnisses hängt daher von einer präzisen, exakten Konfiguration ab. Dies ist das standardmäßige Verhalten für alle Konten.
Mehrfachzuordnung ist ein optionaler Modus, der jede Übereinstimmung anwendet. Eine einzelne Authentifizierung kann mehrere Attribute und Werte gleichzeitig abgleichen und den Benutzer in einem Durchgang mehreren Gruppen zuweisen. Dadurch eignet er sich besonders für Konten mit komplexen Gruppenstrukturen, die Benutzer über eine Vielzahl von Benutzergruppen und Kontaktgruppen verteilen. Die Mehrfachzuordnung muss über den Zoom-Support aktiviert werden.
Die Standardzuordnung weist einen Benutzer der ersten übereinstimmenden Benutzergruppe oder Kontaktgruppe zu
Unter Standard-Mapping, wenn die Aussage eines Benutzers mit mehreren konfigurierten Werten innerhalb der Kategorie Benutzergruppe oder Kontaktgruppe übereinstimmt, wendet Zoom nur den obersten passenden Eintrag in der Konfiguration an. Die Einträge werden in Top-down-Reihenfolge ausgewertet, und der erste passende wird angewendet. Alle verbleibenden Übereinstimmungen innerhalb dieser Kategorie werden ignoriert.
Zum Beispiel wird in einer Konfiguration mit zwanzig Attribut-und-Wert-Paaren, die verschiedenen Benutzergruppen zugeordnet sind, ein Benutzer, dessen Aussage mit mehreren dieser Paare übereinstimmt, nur der Gruppe zugewiesen, die dem höchstplatzierten passenden Eintrag entspricht.
Ein einzelner Wert kann zum Hinzufügen eines Benutzers zu mehreren Gruppen verwendet werden, und die zuerst hinzugefügte Gruppe wird zur Primären Gruppe
Zoom-Administratoren können die Zuordnung von Benutzergruppen Konfigurieren, um mit einem Wert das Hinzufügen eines Benutzers zu mehreren Gruppen zu ermöglichen. Dieses Verhalten gilt sowohl bei der Standardzuordnung als auch bei der Mehrfachzuordnung.
Die zuerst hinzugefügte Benutzergruppe wird als die Primäre Gruppe des Benutzers festgelegt und bestimmt die standardmäßig festgelegten Einstellungen des Benutzers es sei denn, eine zugrunde liegende Gruppe hat eine gesperrte Einstellung. Weitere Informationen zu Benutzergruppen finden Sie in unserem Support-Artikel.
In der folgenden Abbildung, wenn ein Benutzer die Werte für Führung, Personalabteilung, und Reguliert, sie würden nur in die Gruppen für eingeordnet werden Führung, weil es der erste Treffer ist und keine weiteren Treffer gelten.
Multi-Mapping weist einen Benutzer allen übereinstimmenden Benutzer-Gruppen und Kontakt-Gruppen zu, bei bis zu 50 Regeltreffern
Wenn Multi-Mapping aktiviert ist, wendet Zoom an jede übereinstimmenden Eintrag innerhalb der Kategorien Benutzer-Gruppen und Kontakt-Gruppen statt nur der obersten Übereinstimmung. Dasselbe Attribut kann bis zu fünfzig Mal konfiguriert werden, und jeder konfigurierte Wert, der mit einer Assertion übereinstimmt, ordnet den Benutzer seiner zugehörigen Gruppe zu.
Dies bedeutet, dass ein einzelnes Attribut mit fünfzig unterschiedlichen Werten, die jeweils einer anderen Gruppe zugeordnet sind, einen Benutzer in einer einzigen Authentifizierung in alle fünfzig Gruppen platzieren kann. Dies ermöglicht eine Eins-zu-eins-Beziehung zwischen den Sicherheitsgruppen des Identitätsanbieters und den Zoom-Gruppen, sodass das Hinzufügen eines Benutzers zu einer Sicherheitsgruppe innerhalb des Identitätsanbieters ihn bei seiner nächsten Authentifizierung der entsprechenden Zoom-Gruppe zuweist.
In der folgenden Abbildung, wenn ein Benutzer die Werte für Führung, Testen, KI, und Personalwesen Wenn Multi-Mapping aktiviert ist, würde der Benutzer in alle Benutzergruppen aufgenommen werden, weil Zoom bei aktiviertem Multi-Mapping die ersten 50 Regelübereinstimmungen anwendet.
Die Bezeichnung der primären Gruppe wird durch den Zuordnungsmodus nicht beeinflusst. Sowohl bei Standard-Zuordnung als auch bei Multi-Mapping wird die zuerst übereinstimmende hinzugefügte Gruppe zur primären Gruppe des Benutzers, sofern bei einer zugrunde liegenden Gruppe keine Einstellung gesperrt ist.
Multi-Mapping vereinfacht das Zuweisen von Gruppen in großen Enterprise-Umgebungen
Multi-Mapping verringert die erforderliche Konfigurationspräzision, um das Zuweisen von Benutzern zu mehreren Benutzergruppen oder Kontaktgruppen zu ermöglichen. Bei Standard-Zuordnung hängt das Platzieren eines Benutzers in mehrere Gruppen von einer exakten Top-down-Konfiguration ab, die in einer einzigen Auswertung korrekt aufgelöst wird. Multi-Mapping beseitigt diese Einschränkung, indem alle übereinstimmenden Einträge auf einmal angewendet werden, was Umgebungen unterstützt, in denen Benutzer vielen Gruppen angehören und in denen Konfigurationen pro Attribut und pro Wert sonst in einem einzigen Durchlauf schwer auszuführen wären.
Multi-Mapping erfordert die Aktivierung über Zoom-Support
Multi-Mapping wird nicht über die Standard-SSO-Verwaltungsoberfläche aktiviert. Das Aktivieren der Funktion erfordert das Einreichen einer Support-Anfrage an Zoom mit der Bitte, Multi-Mapping für das Konto zu aktivieren. Bis die Anfrage bearbeitet wird, erfolgt die Zuweisung von Benutzergruppe und Kontaktgruppe nach dem standardmäßigen First-Match-Verhalten.
Erweitertes Mapping: Automatisches Mapping
Automatisches Mapping dient als Fallback und weist Benutzer einer Benutzer-, Kanal- oder IM-Gruppe zu, die nach ihrem übermittelten Wert benannt ist, wenn keine explizite Regel übereinstimmt
Automatisches Mapping kann verwendet werden, um Benutzer automatisch einer Benutzergruppe, einem Kanal und einer IM-Gruppe zuzuweisen, die nach ihrem übermittelten Wert benannt sind. Anders als andere Komponenten des erweiterten Mappings, die so konfiguriert werden können, dass sie einem Benutzer je nach Wert eine beliebige Gruppe zuweisen, weist Automatisches Mapping einen Benutzer immer auf Grundlage des exakten Werts einer Gruppe zu. Wenn die Gruppe zuvor nicht existierte, wird sie automatisch erstellt.
Automatisches Mapping fungiert als Fallback und greift nur, wenn die Assertion eines Benutzers keiner der oben in den Abschnitten für erweitertes Mapping konfigurierten expliziten Regeln entspricht. Wenn einem Benutzer bereits über eine explizite Regel eine Gruppe zugewiesen wurde – zum Beispiel durch die Zuordnung zu einer Benutzergruppe auf Grundlage der Sicherheitsgruppenmitgliedschaft des Identitätsanbieters – hat diese explizite Zuweisung Vorrang und die entsprechende Regel für Automatisches Mapping wird ignoriert. Im selben Beispiel würde eine aus dem Abteilungswert des Benutzers automatisch zugewiesene Benutzergruppe nicht angewendet, da die explizite Benutzergruppenregel bereits übereinstimmt.
Wenn beispielsweise Automatisches Mapping so eingestellt ist, dass Benutzer anhand ihrer Abteilung Gruppen zugeordnet werden, und der Benutzer keiner expliziten Regel für diese Kategorie entspricht, dann werden Benutzer, sofern ihr Abteilungswert für die Benutzergruppe, den Kanal oder die IM-Gruppe noch nicht definiert ist, automatisch einer Gruppe zugewiesen, die ihrem Abteilungsnamen entspricht, wie in der folgenden Tabelle gezeigt:
Abteilung
Personalabteilung
Ja
Benutzer zur Personalgruppe hinzugefügt
Abteilung
Marketing
Ja
Benutzer zur Marketinggruppe hinzugefügt
Abteilung
Vertrieb
Nein
Vertriebsgruppe wird erstellt, Benutzer zur Vertriebsgruppe hinzugefügt
Fehlerbehebung bei SSO
Response-Protokolle können zur Fehlerbehebung gespeichert werden
Zoom kann Response-Protokolle von Authentifizierungsversuchen sieben Tage lang nach einer Authentifizierung speichern. Diese Response-Protokolle können neben den Konfigurationen für Response-Mapping ein unschätzbares Hilfsmittel zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Lesen Sie den Abschnitt über Fehlerbehebung bei Problemen mit Response-Protokollen für weitere Informationen.
Zoom-Empfehlung
Aktivieren Sie das Speichern von Response-Protokollen, um die Fehlerbehebung zu erleichtern.
Response-Protokolle zur Fehlerbehebung verwenden
Gespeicherte Response-Protokolle können neben den Konfigurationen für Response-Mapping ein unschätzbares Hilfsmittel zur Fehlerbehebung bei Konfigurations- und Benutzerfehlern sein. Wenn Ihre Zoom-Single Sign-On-Konfiguration so eingestellt ist, dass Response-Protokolle gespeichert werden, können Sie über die Response-Protokoll Registerkarte, die auf der SSO-Konfigurationsseite unter Erweiterte Einstellungen verfügbar ist. Um Response-Protokolle anzuzeigen, klicken Sie auf Details anzeigen neben einem Authentifizierungsversuch.
Die meisten Authentifizierungen werden in den Response-Protokollen angezeigt
Die meisten fehlgeschlagenen oder nicht erfolgreichen Authentifizierungsversuche werden auf der Seite der Response-Protokolle angezeigt. Wenn ein Authentifizierungsversuch nicht angezeigt wird, hat Zoom höchstwahrscheinlich keine Assertion von Ihrem Identitätsanbieter erhalten, oder das Speichern von Response-Protokollen ist deaktiviert.
Response-Protokolle können Ihnen sagen, ob Ihre Konfiguration fehlerhaft ist oder Ihr Zertifikat veraltet ist
Wenn das Speichern von Response-Protokollen aktiviert ist, werden die Informationen des Identitätsanbieters an Zoom übermittelt, um die Identitäten beider Parteien zu authentifizieren. Wenn eine übermittelte Einstellung oder eine Zeichenfolge von Informationen, wie das X509-Zertifikat oder die Aussteller-ID, von der aktuellen Zoom-Konfiguration abweicht, wird ein Fehler angezeigt, der darauf hinweist, dass die Informationen „nicht mit den aktuellen SSO-Einstellungen übereinstimmen“. Ein Zoom-Administrator kann die SSO-Konfiguration aktualisieren, um diese übermittelten Werte anzugleichen, wenn sie korrekt sind, und so den Fehler beheben.
Response-Protokolle zeigen Ihnen, welche Werte und Attribute übermittelt werden
Das Überprüfen von Response-Protokollen kann bei der Behebung von Response-Mapping-Konfigurationen helfen, indem verifiziert wird, welche Attribute und Werte von Benutzern bei der Authentifizierung übermittelt werden. Diese können mit der Konfiguration verglichen werden, um sicherzustellen, dass die Attribute und Werte übereinstimmen.
Wenn Attribute oder Werte fehlen, werden die Informationen vom Identitätsanbieter-Dienst nicht übermittelt. Benutzern, die von diesem Problem betroffen sind, wird empfohlen, sich für weitere Unterstützung an den Support ihres Identitätsanbieters zu wenden.
Response-Protokolle enthalten bei einem fehlgeschlagenen Vorgang einen Fehlercode und eine kurze Erklärung
Wenn sich ein Benutzer nicht authentifizieren kann oder einen Fehler erhält, enthalten die Response-Protokolle einen Fehlercode und eine kurze Fehlerbeschreibung.
Die meisten Probleme können mithilfe dieser Fehlermeldungen identifiziert und behoben werden. Wenn Sie den Fehler nicht beheben können, wenden Sie sich an den Zoom-Support für weitere Unterstützung.
Web-Tracking-ID-Fehler
Wenn ein Benutzer die SSO-Authentifizierung nicht erfolgreich abschließt, erhält er einen WEB-Tracking-ID-Fehlercode. Diese Codes sind keine Fehlermeldung, die sich auf einen bestimmten Fehler bezieht, sondern stattdessen eine eindeutige Protokoll-ID, die in Response Mapping zur Identifizierung von Authentifizierungsproblemen überprüft werden kann.
Um den Fehler zu identifizieren, wechseln Sie bei aktiviertem Response-Logging zur Response-Protokoll Registerkarte, die auf der SSO-Konfigurationsseite unter Erweiterte Einstellungen verfügbar ist. Geben Sie dort die WEB-Tracking-ID in das Feld „Tracking-ID“ ein und suchen Sie, damit das Response-Protokoll angezeigt wird
Die Response-Protokolle sollten die empfangene Assertion sowie einen Fehlercode und eine Meldung am unteren Rand der Antwort anzeigen, die für weitere Fehlerbehebung verwendet werden können.
SCIM-Fehlerbehebung
Fehler
Benutzer existiert nicht oder gehört nicht zu diesem Konto
Dieser Fehler tritt auf, wenn die E-Mail-Adresse eines Zielbenutzers aufgrund eines bereits vorhandenen Kontos nicht bereitgestellt werden kann. Zoom-Administratoren werden gebeten, den Benutzer direkt zu kontaktieren und den Benutzer manuell zum Konto einzuladen.
Sie können keine kostenpflichtigen Benutzer hinzufügen
Dieser Fehler tritt auf, wenn SCIM versucht, einen Benutzer bereitzustellen, obwohl auf dem Konto nicht genügend Lizenzen vorhanden sind. Um den Fehler zu beheben, muss der Benutzer als Basic-Benutzer bereitgestellt werden, oder eine Lizenz muss für die Bereitstellung verfügbar gemacht werden.
Mithilfe von SCIM-Protokollen zur Fehlerbehebung bei der Benutzerbereitstellung
Zoom stellt die neuesten 100 API-Anforderungsprotokolle in den Zoom Marketplace. Ein Zoom-Administrator kann diese Protokolle verwenden, um zu bestätigen, welche Informationen über Bereitstellungs-APIs gesendet und empfangen werden. Um auf die Protokolle zuzugreifen, melden Sie sich als Zoom-Administrator im Zoom Marketplace an und klicken Sie auf Verwalten. Auf der folgenden Seite Anrufprotokolle unter Persönliche App-Verwaltung. Klicken Sie dort auf einen Eintrag, um die API-Protokolle zu erweitern und den Inhalt zu überprüfen.
Das folgende Bild zeigt ein Beispiel für eine SCIM-Benutzerbereitstellungsanfrage, wobei die Identitäts- und Lizenzierungsattribute des Benutzers zur Referenz hervorgehoben sind.
Wie bei der Antwortzuordnung kann Zoom nur Informationen anwenden, die vom Identitätsanbieter in der Bereitstellungsanfrage übermittelt werden. Verwenden Sie diese Protokolle, um zu bestätigen, dass Benutzeridentitäts- und Lizenzierungsattribute vom Identitätsanbieter übermittelt werden. Wenn erwartete Informationen in diesen Assertions fehlen, wenden Sie sich an Ihren Identitätsanbieter, um Support zu erhalten.
Datenflüsse und Authentifizierung
SAML-Authentifizierung
Das folgende Diagramm zeigt den SAML-Authentifizierungsablauf eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.
OIDC-Authentifizierung
Das folgende Diagramm beschreibt den OIDC-Authentifizierungsablauf eines Benutzers beim Starten einer Single Sign-On-Sitzung mit Zoom.
SSO-Web-Login-Token
Nachdem sich ein Benutzer authentifiziert hat, wird die Sitzung des Benutzers in seinem Browser aufgebaut und hat standardmäßig eine Lebensdauer von zwei Stunden. Wenn der Benutzer seine Zoom-Webseite weiterhin aktiv nutzt, wird die Sitzung aktualisiert; wenn der Benutzer seine Webseite jedoch zwei Stunden lang nicht nutzt, läuft das Token ab und der Benutzer muss sich erneut authentifizieren. Zoom-Administratoren können diese aktiv gehaltene Sitzungsdauer konfigurieren auf der Sicherheit Seite unter Benutzer müssen sich nach einer Phase der Inaktivität erneut Anmelden und Zeitraum für Inaktivität im Web festlegen (Minuten).
Client-Anmelde-Token
Wenn ein Benutzer versucht, sich innerhalb eines Clients per SSO zu authentifizieren, öffnet das Gerät des Benutzers einen Web-Browser und leitet ihn zur Anmeldeseite des Identitätsanbieters weiter. Nachdem sich ein Benutzer authentifiziert hat, erhält der Browser des Benutzers einen Start-Token der Zoom-Anwendung. Sobald ein Benutzer auf die Schaltfläche „open“ oder „launch“ klickt, verwendet der Browser das URL-Schema zusammen mit dem Start-Token, um die Zoom-Anwendung zu öffnen.
Die Zoom-Anwendung verwendet den Start-Token, um das Access-Token und das Refresh-Token vom Zoom-Server abzurufen. Der Client verwendet das Access-Token jeweils für zwei Stunden, und verwendet bei Ablauf das Refresh-Token, um einen neuen Satz von Token zu erhalten, die in der lokalen Datenbank des Clients gespeichert werden. Dieser Erneuerungsprozess ist standardmäßig unbegrenzt und kann Token fortlaufend durchlaufen, bis sich ein Benutzer abmeldet oder die Token ablaufen. Zoom-Administratoren können die Sitzungsdauer auf der SSO-Einstellungen Seite unter automatische Abmeldung erzwingen.
Zuletzt aktualisiert
War das hilfreich?