获取用户在Okta中关联的组列表

Question

还有，有没有可能在我的IDP中有一个服务帐户，我的后端可以直接询问IDP是否有一个用户在某个特定的组中？

Answer 1

通过正确配置Okta管理仪表板中的SP应用程序，可以将组添加到SAMLResponse中。要对现有的应用程序执行此操作，请转到Admin panel并编辑SAML设置，以包含组属性语句。例如，如果要向SP公开包含单词admin的所有组，请添加一个具有正确名称（即groups）的字段，并指定一个值为.*admin.*的regex筛选器。

正确配置后，SAMLResponse将包含以下节点：

<saml2p:Response 
    xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" 
    ......
    ......
    <saml2p:Status 
        xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol">
        <saml2p:StatusCode 
            Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
    </saml2p:Status>
    <saml2:Assertion 
        ......
        ......
        xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" 
        <saml2:AttributeStatement 
            xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
            <saml2:Attribute 
                Name="groups" 
                NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
                <saml2:AttributeValue 
                    xmlns:xs="http://www.w3.org/2001/XMLSchema" 
                    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
                    xsi:type="xs:string">admins_group_1
                </saml2:AttributeValue>
                <saml2:AttributeValue 
                    xmlns:xs="http://www.w3.org/2001/XMLSchema" 
                    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
                    xsi:type="xs:string">it_admins
                </saml2:AttributeValue>
            </saml2:Attribute>
        </saml2:AttributeStatement>
    </saml2:Assertion>
</saml2p:Response>

注意，groups将包含所有包含单词admin的组，无论它是否是Okta组、AD组等。