Artifactory：SAML SSO组匹配不起作用

Question

我们使用ADFS允许用户登录Artifactory，基本上它工作正常。问题是，群组成员身份无法识别。谁能告诉我这是什么问题？

使用Artifactory Pro 5.4.4 ADFS 3.0

用于将信息传输到Artifactory的XML（我也包含了mail属性，工作正常）

<Attribute Name="memberOf">
 <AttributeValue>CN=some_group_the_user_is_in,OU=...</AttributeValue>
 <AttributeValue>CN=my_artifactory_group,OU=..</AttributeValue>
 <AttributeValue>CN=some_other_group,OU=...</AttributeValue>
</Attribute>
<Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress">
  <AttributeValue>[email protected]</AttributeValue>
</Attribute>

我没有直接访问ADFS，我真的没有经验。负责人说他不能过滤组以显示Artifactory中的一个重要组，因此有一个组列表，一个或两个可能在Artifactory中使用，他也不能更改属性名称。

Artifactory中的SAML设置为：组属性：“memberOf”电子邮件属性：“http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress”

其他SAML工作正常。用户“只是”错过了他们的小组 - 这最终使整个事情变得毫无用处，因为每个新用户都必须手动分配，这显然对近200名用户来说并不实用

有人可以帮忙吗？

Answer 1

同样的事情，我花了一段时间来解决它。首先，您已正确设置SAML设置。您需要做的是使用SAML中指定的确切ID在artifactory中创建组。在您的情况下，您将不得不创建：

1. CN=some_group_the_user_is_in,OU=...
2. CN=my_artifactory_group,OU=..
3. CN=some_other_group,OU=...

我认为这些不是你们小组的真实姓名，但我从你的问题中逐字复制了它们。

然后，您需要为您的组授予适当的权限，以便能够浏览正确的存储库。请注意，SAML组关联允许用户根据他们的许可浏览Artifactory。它不允许他们使用该关联来使用生成的令牌访问工件，就像您希望从开发人员计算机运行构建而不是使用Artifactory密码一样。后者缺失的功能被承诺在2018年第四季度得到他们的支持。这是与missing feature相关的JIRA问题。