Mapping

Diese Seite beschreibt die Konfiguration der Mapper im LDAP-Provider. Mapper übersetzen Attribute und Gruppen aus dem angebundenen Verzeichnis in entsprechende Felder und Strukturen in Keycloak.

Keycloak legt beim Erstellen des LDAP-Providers bereits Standard-Mapper für die wichtigsten Benutzerattribute an, etwa username, firstname, lastname und email.

Darüber hinaus beschreibt diese Seite, wie, wie zusätzliche Mapper für nicht enthaltene Attribute sowie für LDAP-Gruppen angelegt werden.

Für die Zugangskontrolle stehen zwei Varianten zur Verfügung: gruppenbasiert über einen Group Mapper (empfohlen) oder attributbasiert über einen User Attribute Mapper. Beide Varianten werden auf dieser Seite beschrieben.

Standard-Mapper first name prüfen

Die Prüfung in diesem Abschnitt ist immer erforderlich. Die Korrektur ist nur bei einem falschen Ergebnis erforderlich.

Keycloak trägt in den Standard-Mapper first name das LDAP-Attribut cn ein. In vielen Verzeichnissen enthält cn den vollständigen Namen und nicht den Vornamen. Keycloak speichert dann den vollständigen Namen im Feld First name. Da Keycloak den Anzeigenamen aus Vorname und Nachname bildet, sieht der Benutzer seinen Nachnamen zweimal, zum Beispiel Martina Musterfrau Musterfau.

Der Inhalt von cn unterscheidet sich je nach Verzeichnis. Prüfen Sie deshalb das Ergebnis, bevor Sie den Mapper ändern.

Prüfung

1. Führen Sie unter Action → Sync all users einen Sync durch.

2. Öffnen Sie im Realm silentai den Bereich Users.

3. Wählen Sie einen synchronisierten Benutzer aus.

4. Lesen Sie die Felder First name und Last name.

Korrektur

Vorsicht: Der Mapper first name hat die Einstellung Is Mandatory In LDAP auf On. Benutzer ohne das Attribut givenName werden nach der Änderung nicht mehr synchronisiert. Prüfen Sie deshalb zuerst das Verzeichnis.

1. Stellen Sie sicher, dass das Verzeichnis für alle Benutzer das Attribut givenName füllt.

2. Öffnen Sie im Realm silentai den Bereich User federation und wählen Sie den konfigurierten LDAP-Provider aus.

3. Wechseln Sie auf den Reiter Mappers.

4. Wählen Sie den Mapper first name aus.

5. Ändern Sie das Feld LDAP Attribute von cn auf givenName.

6. Speichern Sie den Mapper.

7. Führen Sie anschließend unter Action → Sync all users einen erneuten Sync durch.

8. Wiederholen Sie die Prüfung.

Group Mapper

Der Group Mapper überträgt LDAP-Gruppen als Keycloak-Gruppen und ordnet Benutzer entsprechend ihrer LDAP-Gruppenmitgliedschaft zu. Er ist die empfohlene Grundlage für eine gruppenbasierte Zugangskontrolle.

1. Öffnen Sie im Realm silentai den Bereich User federation und wählen Sie den konfigurierten LDAP-Provider aus.

2. Wechseln Sie auf den Reiter Mappers.

3. Klicken Sie auf Add mapper.

4. Tragen Sie die folgenden Werte ein. Die verzeichnisspezifischen Werte unterscheiden sich je nach angebundenem System:

Verzeichnisspezifische Werte:

5. Speichern Sie den Mapper.

6. Führen Sie anschließend unter Action → Sync all users einen erneuten Sync durch, damit die Gruppenmitgliedschaften übertragen werden.

User Attribute Mapper für department

Der Mapper überträgt das LDAP-Attribut department als Benutzerattribut in Keycloak. Er wird als Grundlage für eine attributbasierte Zugangskontrolle benötigt.

1. Öffnen Sie im Realm silentai den Bereich User federation und wählen Sie den konfigurierten LDAP-Provider aus.

2. Wechseln Sie auf den Reiter Mappers.

3. Klicken Sie auf Add mapper.

4. Tragen Sie die folgenden Werte ein:

5. Speichern Sie den Mapper.

6. Führen Sie anschließend unter Action → Sync all users einen erneuten Sync durch, damit das Attribut an die bestehenden Benutzer übertragen wird.