Installation und Konfiguration des Shibboleth Identity Provider (IdP) für Cisco Identity Service (IdS) zur Aktivierung von SSO

Anfragen von allen Clients zulassen

Um sicherzustellen, dass Anfragen von allen Clients eintreffen, müssen Änderungen in "$shibboleth_home/conf/access-control.xml" vorgenommen werden. 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ { {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Fügen Sie '0.0.0.0/0' zu den zulässigen Bereichen hinzu. Dies ermöglicht Anfragen aus jedem IP-Bereich.

Shibboleth für die Integration mit IdS konfigurieren

SHA1 (Secure Hash Algorithm) und Verschlüsselungskonfiguration in IdS

Um IdS standardmäßig auf SHA1 zu konfigurieren, öffnen Sie "$shibboleth_home/conf/idp.properties", und legen Sie Folgendes fest:

idp.signing.config = shibboleth.SigningConfiguration.SHA1; 

Diese Konfiguration kann auch geändert werden:

idp.encryption.optional = true

Wenn Sie den Wert auf true festlegen, führt das Nichtfinden eines zu verwendenden Verschlüsselungsschlüssels, wenn er aktiviert ist, nicht zu einem Anforderungsfehler. Diese hhilft bei der "opportunistischen" Verschlüsselung, d. h. Verschlüsselung wann immer möglich (ein kompatibler Schlüssel befindet sich in den Metadaten des Peers, mit dem verschlüsselt werden kann), aber andernfalls die Verschlüsselung zu überspringen. 

Konfigurieren von uid und user_principal für die SAML-Antwort

Die AttributeDefinition wird in "$shibboleth_home/conf/attribute-resolver.xml" hinzugefügt, um sAMAccountName und userPrincipalName der uid und user_principal in der SAML-Antwort zuzuordnen.

Fügen Sie außerdem die LDAP-Connector-Einstellungen mit dem Tag <DataConnector> hinzu.

Hinweis: ReturnAttributes muss mit dem Wert "sAMAccountName userPrincipalName" angegeben werden.

Hinweis: LDAPProperty ist obligatorisch, wenn eine Integration mit einem Active Directory (AD) erfolgt.

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

Änderungen in "$shibboleth_home/conf/attribute-filter.xml" übernehmen

IDp-Metadaten

IdP-Metadaten sind im Ordner "$shibboleth_home/metadaten" verfügbar. Die Datei idp-metadaten.xml kann über die API (Application Programming Interface) in IdS hochgeladen werden.

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadaten

wobei "idsport" keine konfigurierbare Einheit ist und der Wert "8553" ist.

Warnung: Shibboleth-Metadaten können 2 Signaturzertifikate, das allgemeine Signaturzertifikat und den Rückkanal enthalten. Navigieren Sie zur Datei idp-backchannel.crt in "$shibboleth_home/dentials", um das Backchannel-Zertifikat zu identifizieren. Wenn das Backchannel-Zertifikat in den Metadaten verfügbar ist, sollten Sie das Backchannel-Zertifikat aus der Metadaten-XML entfernen, bevor Sie es in IdS hochladen. Dies liegt daran, dass die von IdS verwendete fedlet 12.0-Bibliothek nur ein Zertifikat in den Metadaten unterstützt. Wenn mehr als ein Signaturzertifikat verfügbar ist, verwendet fedlet das erste verfügbare Zertifikat. 

Metadatenanbieter konfigurieren

Wir müssen die Metadaten-Anbieter mit dem Eintrag in $shibboleth_home/metadata-providers.xml konfigurieren.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

wobei"id"-Attribut ein beliebiger eindeutiger Name sein kann.

Dieser Eintrag gibt an, dass ein Metadatenanbieter mit der angegebenen ID registriert ist und die Metadaten in der angegebenen Datei /opt/shibboleth-idp/SP/sp.xml verfügbar sind.

Die Service Provider (SP)-Metadaten von IdS müssen in die im Eintrag angegebene metadatenFile kopiert werden.

Hinweis: SP-Metadaten von IdS können über GET https://<idshost>:<idsport>/ids/v1/config/spmetadaten abgerufen werden, wobei idsport keine konfigurierbare Entität ist und der Wert "8553" ist.