Skip to main content

ما الذي يضيفه هذا التكامل

يُعد SailPoint IdentityNow مصدرًا للهويات. فهو يضيف الأشخاص وحساباتهم إلى Living Security، ولا يضيف أحداث النشاط. يقرأ الاتصال تدفقين: تستخدم Living Security التدفق Users لمطابقة الأشخاص عبر تكاملاتكم الأخرى. أما التدفق Accounts فيخزّن مخزون حساباتكم كسجلات مستوردة فقط. لا تربط Living Security هذه الحسابات بالأشخاص حتى الآن، لذا لا تعرض المنصة الأنظمة التي يستطيع كل شخص الوصول إليها. يمكنكم أيضًا السماح لأدلة التشغيل بتشغيل مهام سير عمل SailPoint. هذا الجزء اختياري وله إعداد مستقل — راجعوا السماح لأدلة التشغيل بتشغيل سير عمل في SailPoint.

ما تحتاجه Living Security

النطاقات المطلوبة

يجب أن يحمل رمز الوصول الشخصي هذه النطاقات. يأتي كل نطاق منها من مواصفات واجهة API المنشورة لدى SailPoint للنقطة الطرفية التي تستخدمه. يمكنكم تحديد sp:scopes:all بدلًا من ذلك. فهو يمنح الرمز كل النطاقات التي يتيحها مستوى المستخدم لمالكه، وتشمل هذه النطاقات الثلاثة. توصي SailPoint بتحديد النطاقات التي تحتاجونها فقط.

مستوى المستخدم المطلوب

أنشئوا الرمز بواسطة مستخدم بمستوى المستخدم Admin (ORG_ADMIN). يعمل رمز الوصول الشخصي بصلاحيات مالكه. وقد يعيد مستوى مستخدم أكثر تقييدًا جزءًا فقط من هوياتكم، أو لا يعيد أيًا منها.
استخدموا رمز وصول شخصيًا وليس عميل API من API Management. لا تقبل SailPoint فحص الاتصال إلا من رمز يعود إلى مستخدم، لذلك يفشل الاتصال عند استخدام عميل من إدارة API.

الإعداد

1

تحديد النطاق الفرعي للمستأجر

النطاق الفرعي للمستأجر هو الجزء الذي يسبق .identitynow.com في عنوان URL الخاص بـ SailPoint. فبالنسبة إلى https://acme.identitynow.com، يكون النطاق الفرعي acme.
2

إنشاء رمز وصول شخصي في SailPoint

  1. سجّلوا الدخول إلى SailPoint بصفة مستخدم بمستوى المستخدم Admin.
  2. افتحوا القائمة الموجودة أسفل اسم المستخدم الخاص بكم، ثم اختاروا التفضيلات.
  3. اختاروا Personal Access Tokens، ثم New Token.
  4. أدخلوا وصفًا، مثل Living Security Platform.
  5. استخدموا مفاتيح التبديل لتحديد النطاقات sp:scopes:default وsp:search:read وidn:accounts:read.
  6. اختاروا Create Token.
  7. انسخوا Client ID وSecret. تعرض SailPoint السر مرة واحدة فقط.
3

إضافة عناوين Living Security إلى قائمة السماح

إذا كان مستأجر SailPoint لديكم يقيّد الوصول إلى API بحسب عنوان IP المصدر، فأضيفوا مجموعتي العناوين أدناه إلى قائمة السماح قبل الاتصال. تطلب Living Security رمز الوصول بنفسها وتجدده باستمرار، لذلك تخرج طلبات الرمز وعمليات المزامنة المجدولة من شبكات مختلفة. تخطّوا هذه الخطوة إذا كان مستأجركم لا يقيّد الوصول إلى API بحسب عنوان IP.
يتطلب SailPoint IdentityNow مجموعتين من العناوين، وليس مجموعة واحدة. تُنشئ Living Security رمز الوصول الخاص بهذا التكامل على بنيتها التحتية وتجدده باستمرار، ولذلك تصدر حركة بيانات الإعداد وحركة بيانات المزامنة من شبكتين مختلفتين. أضف المجموعتين كلتيهما إلى قائمة السماح في SailPoint IdentityNow، وأبقِ عليهما معًا — فهذا ليس متطلبًا للإعداد فقط.

حركة بيانات مزامنة التكامل — هي نفسها في جميع المناطق:
52.34.139.153/32, 54.69.127.183/32, 44.247.133.183/32, 52.26.211.56/32

حركة بيانات المنصة — استخدم فقط الصف الخاص بالمنطقة التي تستضيف مؤسستك:
الولايات المتحدة: 98.91.60.249/32, 13.216.91.102/32
الاتحاد الأوروبي: 34.246.236.210/32, 52.31.102.238/32

إذا أضفت مجموعة المزامنة فقط إلى قائمة السماح، فلن يكتمل الإعداد أبدًا. وإذا أضفت مجموعة المنصة فقط، فسينجح الإعداد بينما تخفق كل عمليات المزامنة. راجع تكوين عناوين IP الصادرة للتكاملات للاطلاع على علامات الإخفاق في الحالتين وسياسة التغيير.
4

إدخال بيانات الاعتماد في Living Security Platform

يُجري هذه الخطوة من يملك صلاحية الوصول إلى Living Security — مالك البرنامج، أو مدير النظام إذا تمت دعوته (الإعداد المفوَّض).
  1. انتقلوا إلى الإعدادات → التكاملات → Catalog، وابحثوا عن بطاقة SailPoint IdentityNow، ثم انقروا Connect.
  2. املؤوا الحقول أدناه، ثم انقروا Connect.
أدخلوا النطاق الفرعي للمستأجر ومعرّف العميل وسر العميل، ثم أجروا الاتصال.
تستبدل Living Security الرمز برمز وصول قصير الأمد وتجدده قبل انتهاء صلاحيته. لا حاجة إلى إنشاء رموز الوصول أو تدويرها. إذا حذفتم رمز الوصول الشخصي في SailPoint أو استبدلتموه، فأعيدوا ربط البطاقة بالقيم الجديدة.

اختياري: السماح لأدلة التشغيل بتشغيل سير عمل في SailPoint

يمكن لخطوة في دليل التشغيل أن تشغّل أحد مهام سير عمل SailPoint لديكم لكل شخص تستهدفه. تخطّوا هذا القسم إذا كنتم تريدون استيراد الهويات والحسابات فقط. يتلقى سير العمل معرّف هوية الشخص في SailPoint بصيغة identityServiceId ضمن مدخلاته. قبل أن تتمكن خطوة من تشغيل سير عمل، يجب أن تتحقق كل الشروط التالية:
  1. يبدأ سير العمل بخطوة External Trigger ويكون مفعّلًا. لا تشغّل SailPoint سير عمل من خارجها إلا إذا بدأ بهذه الصورة. ولا يعمل سير العمل المعطّل، وتفشل خطوة دليل التشغيل حتى لا يُبلَّغ عن تنفيذ عمل لم يحدث.
  2. يضيف مدير سير العمل إلى قائمة السماح. افتحوا اتصال SailPoint في Living Security Platform وأضيفوا معرّف سير العمل ضمن Runnable workflows. ترفض Living Security أي سير عمل غير مدرج في القائمة قبل أن يصل أي طلب إلى SailPoint. وتؤدي القائمة الفارغة إلى حظر جميع مهام سير العمل.
  3. يضيف مدير عميل OAuth الخاص بسير العمل. ضمن Workflow OAuth clients، اختاروا Add client بجوار سير العمل، ثم أدخلوا معرّف العميل وسره.

عميل OAuth الواجب استخدامه

تربط SailPoint كل سير عمل من نوع External Trigger بعميل OAuth واحد بالضبط، مع النطاق sp:workflow-execute:external. ولا تشغّل سير العمل إلا لرمز صادر عن ذلك العميل. لا يعمل رمز الوصول الشخصي الخاص بالاتصال هنا، حتى لو كان يحمل جميع النطاقات.
استخدموا العميل الذي أنشأته SailPoint بالفعل لـ External Trigger الخاص بسير العمل. لا تنشئوا عميلًا جديدًا. فالعميل الجديد يحل محل القديم، ويتوقف كل ما يزال يستخدم العميل القديم عن العمل.
يظهر معرّف سير العمل في عنوان URL الخاص بسير العمل في SailPoint، وفي استجابة النقطة الطرفية /v3/workflows لدى SailPoint.

التحقق واستكشاف الأخطاء وإصلاحها

بعد الاتصال، تحققوا من أن التدفق Users يستورد هوية واحدة على الأقل. وقد يستغرق التدفق Accounts وقتًا أطول في المستأجرين الكبيرة.
معرّف العميل أو السر غير صحيح، أو تم حذف رمز الوصول الشخصي. تأكدوا من أن الرمز ما زال موجودًا ضمن التفضيلات → Personal Access Tokens، ثم أعيدوا الاتصال بالقيم الحالية.
ينقص الرمز نطاق مطلوب، أو أن مستوى المستخدم لمالكه لا يتيح قراءة البيانات. أنشئوا رمزًا بالنطاقات المذكورة في النطاقات المطلوبة، بواسطة مستخدم بمستوى المستخدم Admin، ثم أعيدوا الاتصال.إذا غيّرتم نطاقات رمز موجود، فانتظروا حتى 30 دقيقة لتطبّق SailPoint التغيير، ثم أعيدوا الاتصال.إذا استخدمتم عميل API من API Management، فاستبدلوه برمز وصول شخصي.
لا يرى مالك الرمز سوى جزء من المستأجر لديكم. أنشئوا الرمز بواسطة مستخدم بمستوى المستخدم Admin.
أدخلوا النطاق الفرعي فقط — على سبيل المثال acme، وليس acme.identitynow.com أو https://acme.api.identitynow.com.إذا كان النطاق الفرعي صحيحًا، فتحققوا مما إذا كان مستأجر SailPoint لديكم يقيّد الوصول إلى API بحسب عنوان IP المصدر. وإذا كان كذلك، فتأكدوا من أن مجموعتي العناوين من خطوة الإعداد إضافة عناوين Living Security إلى قائمة السماح مضافتان إلى قائمة السماح: عناوين حركة مرور مزامنة التكامل وعناوين حركة مرور المنصة لمنطقتكم.
تحققوا من الشروط الثلاثة في السماح لأدلة التشغيل بتشغيل سير عمل في SailPoint. يعني الخطأ 401 الصادر من SailPoint عادةً أن عميل OAuth المخزَّن ليس العميل المرتبط بسير العمل.
للاطلاع على التفاصيل من جانب المورّد، راجعوا دليل SailPoint حول رموز الوصول الشخصية.

موارد ذات صلة