Campi dell'asserzione SAML just in time per Experience Cloud

Impostazioni Single Sign-On SAML

Configurare Single Sign-On (SSO) SAML con Salesforce come fornitore di servizi e abilitare il provisioning just in time. Impostare i valori per la configurazione a seconda delle proprie esigenze e includere i seguenti valori specifici del sito per il provisioning just in time.

• Selezionare Provisioning utente abilitato.
  • Per il provisioning just in time è necessario un ID federazione nel tipo di utente. In Tipo ID utente SAML, selezionare L'asserzione contiene l'ID federazione dell'oggetto utente.
  • Se il provider di identità in precedenza utilizzava il nome utente Salesforce, comunicargli che deve utilizzare l'ID federazione.
• L'ID entità deve essere univoco in tutta l'organizzazione e iniziare con https. Non è possibile avere due configurazioni SAML con lo stesso ID entità in una sola organizzazione. Specificare se si desidera utilizzare il dominio di base (https://saml.salesforce.com) o l'URL del sito (https://acme.my.site.com/customers) per l'ID entità. Condividere queste informazioni con il provider di identità.
  

  Suggerimento come regola generale, utilizzare l'URL del sito come ID entità. Se si forniscono servizi Salesforce a Salesforce è necessario specificare l'URL del sito.

  Se non si utilizzano i domini ottimizzati, l'URL dei siti Experience Cloud dell'organizzazione è diverso. Per informazioni dettagliate, vedere Formati degli URL di Dominio personale nella Guida di Salesforce.

• In Tipo ID utente SAML, selezionare L'asserzione contiene l'ID federazione dell'oggetto utente. Se il provider di identità in precedenza utilizzava il nome utente Salesforce, comunicargli che deve utilizzare l'ID federazione.=

URL destinatario

https://domainName/login?so=orgID

Se è stato caricato un certificato di decrittografia asserzione nelle impostazioni Single Sign-On SAML dell'organizzazione, includere l'ID certificato nell'URL utilizzando il parametro sc. Ad esempio, Recipient="https://acme.my.site.com/customers/login?so=00DD0000000JsCM&sc=0LE000000Dp" in cui 0LE000000Dp è l'ID certificato.

ID federazione

Salesforce tenta di trovare una corrispondenza fra l'ID federazione nell'oggetto dell'asserzione SAML e il campo User.FederationIdentifier di un record utente esistente. Salesforce può anche utilizzare l'elemento attributo per la corrispondenza, in base al modo in cui la posizione dell'identità SAML è definita in Impostazioni Single Sign-On SAML.

Se viene trovato un record corrispondente, Salesforce utilizza gli attributi dell'asserzione SAML per aggiornare i campi specificati. Se non viene trovato un utente con un record utente corrispondente, Salesforce cerca una corrispondenza tra i referenti in base all'ID referente (User.Contact) o all'email (Contact.Email). Contact.Email e Contact.LastName sono entrambe proprietà obbligatorie quando non viene specificato User.Contact, ma la corrispondenza si basa solo sulla Contact.Email quando esistono entrambe le proprietà.

Se viene trovato un record referente corrispondente, Salesforce utilizza gli attributi dell'asserzione SAML per aggiornare i campi referente specificati e quindi inserisce un nuovo record utente. Se non viene trovato un record referente corrispondente, Salesforce cerca una corrispondenza negli account in base al Contact.Account o al Account.AccountNumber specificato nell'asserzione SAML. Account.AccountNumber e Account.Name sono proprietà obbligatorie quando non viene specificato Contact.Account, ma la corrispondenza si basa solo sulla Account.AccountNumber quando esistono entrambe le proprietà.

Se viene trovato un record account corrispondente, Salesforce inserisce un nuovo record utente e aggiorna i record account in base agli attributi contenuti nell'asserzione SAML. Se non viene trovato un record account corrispondente, Salesforce inserisce nuovi record account, referente e utente in base agli attributi contenuti nell'asserzione SAML.

Se l'account utente non è attivo, l'account viene aggiornato ma lasciato inattivo a meno che User.IsActive nell'asserzione just in time non sia impostato su true. Se non delle presenti account utente con l'ID federazione specificato, il sistema crea un utente.

Nome e ID profilo

Se per il sito non è abilitata l'auto registrazione e non sono specificati un nuovo profilo utente e un ruolo predefiniti, il campo User.ProfileId deve contenere un nome di profilo o un ID valido.

Campi supportati per l'asserzione SAML del sito

Per identificare correttamente l'oggetto da creare in Salesforce, è necessario usare un prefisso. Nell'asserzione SAML, utilizzare il prefisso Account per tutti i campi dello schema Account, ad esempio Account.AccountId. Utilizzare il prefisso Contact per tutti i campi dello schema Contact. In questo esempio, il prefisso Contact è stato aggiunto al nome campo Email.

<saml:Attribute 
   Name="Contact.Email" 
   NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
      <saml:AttributeValue xsi:type="xs:anyType">testuser@123.org</saml:AttributeValue>
</saml:Attribute>

Nota nell'asserzione SAML, Salesforce supporta anche i campi personalizzati sull'oggetto Utente. Tutti gli attributi dell'asserzione che iniziano con User vengono analizzati come campi personalizzati. Ad esempio, l'attributo User.NumberOfProductsBought__c nell'asserzione viene inserito nel campo NumberOfProductsBought per l'utente con provisioning. I campi personalizzati non sono supportati per Account e Referenti.

Campi account supportati

In aggiunta agli attributi Utente standard supportati per i normali utenti just in time SAML, sono supportati anche i seguenti attributi Account. Ad esempio, specificando un attributo Account.Phone nell'asserzione si aggiorna il campo Telefono dell'account nell'oggetto Account corrispondente.

• Nome
• AccountNumber
• BillingCity
• BillingCountry
• BillingPostalCode
• BillingState
• BillingStreet
• Titolare (il campo Titolare per l'oggetto Account è Account.OwnerId nell'API)
• AnnualRevenue
• Description
• NumberOfEmployees
• Fax
• Settore
• Ownership
• Phone
• Rating
• ShippingAddress (il campo Indirizzo spedizione è un campo composto)
• ShippingCity
• ShippingCountry
• ShippingPostalCode
• ShippingState
• ShippingStreet
• Sic
• TickerSymbol
• Website

Campi referente supportati

Questi campi Referente sono supportati.

• Account (questo valore è il campo Nome account per l'oggetto Referente e Account.Name nell'API)
• Email
• FirstName
• LastName
• Telefono
• CanAllowPortalSelfReg
• AssistantName
• AssistantPhone
• Birthdate
• Titolare (questo valore è il campo Titolare referente per l'oggetto Referente e Contact.OwnerId nell'API)
• Department
• Description
• DoNotCall
• HasOptedOutOfEmail
• Fax
• HasOptedOutOfFax
• HomePhone
• LastCUUpdatetDate (questo valore è il campo Ultima modifica per l'oggetto Referente e Contact.LastModifiedDate nell'API)
• LeadSource
• MailingAddress (il campo Indirizzo postale è un campo composto)
• MailingCity
• MailingCountry
• MailingPostalCode
• MailingState
• MailingStreet
• MobilePhone
• Salutation
• OtherAddress (il campo OtherAddress è un campo composto)
• OtherCity
• OtherCountry
• OtherPostalCode
• OtherState
• OtherStreet
• OtherPhone
• Qualifica