Mapper les attributs SAML avec Auth0 comme IdP/module complémentaire SAML

Présente des exemples de mappage des attributs SAML lorsque Auth0 est le fournisseur d’identité.

Lorsque Auth0 est l’IdP, vous pouvez mapper les attributs utilisateur au moyen du module complémentaire SAML2 d’Auth0. Des erreurs peuvent survenir si les attributs sont mal configurés. Par exemple, un utilisateur saisit correctement son nom d’utilisateur et son mot de passe, mais ne parvient pas à se connecter à l’application, même si les journaux dans le Auth0 Dashboard indiquent des événements de connexion réussis. Il se peut aussi que votre application ne reçoive pas certains renseignements sur l’utilisateur, comme son nom ou son adresse courriel.

​

Cas d’utilisation

Le profil utilisateur ci-dessous sert d’exemple pour les scénarios suivants.

//EXEMPLE de profil utilisateur IdP
{
   "created_at": "2021-06-21T13:26:08.579Z",
   "email": "[e-mail]",
...
   "fav_genre": "fiction",
   "user_metadata": {
       "fav_streaming_service": "hulu"
   }
...
}

​

Aucun objet de mappages

Lorsqu’on utilise le module complémentaire SAML2, un objet mappings vide est généré par défaut.

Dans cet exemple, fav_genre et user_metadata.fav_streaming_service ne sont pas définis, mais peuvent être personnalisés et mappés dans la réponse SAML générée par Auth0.

Dans l’exemple ci-dessous, "fav_genre": "fiction" est mappé à l’attribut  http://schemas.auth0.com/fav_genre dans la réponse SAML avec la valeur fiction, tandis que "user_metadata": {"fav_streaming_service": "hulu"} n’apparaît pas du tout dans la réponse SAML.

Réponse SAML résultante envoyée par l’IdP :

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_e30cb5f29249a82846eb" InResponseTo="_e33996d83f953ce46225185b3a1c0ad8" Version="2.0" IssueInstant="2021-11-03T21:34:42.493Z" Destination="https://example-dev-tenant.us.auth0.com/login/callback">
...
       <saml:AttributeStatement xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
           <saml:Attribute Name="http://schemas.auth0.com/fav_genre" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
               <saml:AttributeValue xsi:type="xs:string">
                   fiction
               </saml:AttributeValue>
           </saml:Attribute>
...
       </saml:AttributeStatement>
   </saml:Assertion>
</samlp:Response>

​

Exemple de mappages standard

Dans l’exemple précédent, le fait de ne pas personnaliser l’objet de mappages a donné lieu à un attribut http://schemas.auth0.com/fav_genre dans la Réponse SAML avec la valeur "fiction".

Ensuite, mappez les attributs dans l’objet de mappages des paramètres du module complémentaire SAML2 pour en tenir compte.

Après cela, remarquez que la valeur "fiction" reste la même dans la Réponse SAML, mais que le nom de l’attribut dans la Réponse SAML a été remplacé : il est passé de la valeur par défaut http://schemas.auth0.com/fav_fiction à http://schemas.auth0.com/books.

Configuration de l’objet de mappages du module complémentaire SAML2 :

"mappings": {
   "fav_genre": "http://schemas.auth0.com/books"
 }

Ce mappage produit la réponse suivante :

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_e30cb5f29249a82846eb" InResponseTo="_e33996d83f953ce46225185b3a1c0ad8" Version="2.0" IssueInstant="2021-11-03T21:34:42.493Z" Destination="https://example-dev-tenant.us.auth0.com/login/callback">
...
       <saml:AttributeStatement xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
           <saml:Attribute Name="http://schemas.auth0.com/books" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
               <saml:AttributeValue xsi:type="xs:string">
                   fiction
               </saml:AttributeValue>
           </saml:Attribute>
...
       </saml:AttributeStatement>
   </saml:Assertion>
</samlp:Response>

​

Mapper la même valeur à plusieurs attributs

Dans certains cas, il peut être nécessaire de mapper la réponse SAML à plusieurs attributs ayant la même valeur.

Dans ce cas, vous pouvez mapper la même valeur du profil utilisateur à plusieurs attributs dans la réponse SAML.

Comment configurer l’objet de mappages du module complémentaire SAML2 :

"mappings": {
   "fav_genre": [
     "http://schemas.auth0.com/movies",
     "http://schemas.auth0.com/books",
     "http://schemas.auth0.com/television"
   ]
 }

Ce mappage produit la réponse suivante :

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_e30cb5f29249a82846eb" InResponseTo="_e33996d83f953ce46225185b3a1c0ad8" Version="2.0" IssueInstant="2021-11-03T21:34:42.493Z" Destination="https://example-dev-tenant.us.auth0.com/login/callback">
...
       <saml:AttributeStatement xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
           <saml:Attribute Name="http://schemas.auth0.com/movies" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
               <saml:AttributeValue xsi:type="xs:string">
                   fiction
               </saml:AttributeValue>
           </saml:Attribute>
           <saml:Attribute Name="http://schemas.auth0.com/books" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
               <saml:AttributeValue xsi:type="xs:string">
                   fiction
               </saml:AttributeValue>
           </saml:Attribute>
           <saml:Attribute Name="http://schemas.auth0.com/television" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
               <saml:AttributeValue xsi:type="xs:string">
                   fiction
               </saml:AttributeValue>
           </saml:Attribute>
...
       </saml:AttributeStatement>
   </saml:Assertion>
</samlp:Response>