Installation und Konfiguration des Shibboleth Identity Provider (IdP) für Cisco Identity Service (IDs) zur Aktivierung der SSO

Anfragen aller Clients zulassen

Um sicherzustellen, dass Anfragen aller Kunden eingehen, sind Änderungen in "$shibboleth_home/conf/access-control.xml" erforderlich. 

<entry key="AccessByIPAddress">
<bohne id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Fügen Sie '0.0.0.0/0' zu den zulässigen Bereichen hinzu. Dies ermöglicht Anforderungen aus einem beliebigen IP-Bereich.

Konfiguration von Shibboleth zur Integration mit IDs

Secure Hash Algorithm (SHA1) und Verschlüsselungskonfiguration in IDs

Um die Standardeinstellung für IDs auf SHA1 festzulegen, öffnen Sie "$shibboleth_home/conf/idp.properties" und legen Sie Folgendes fest:

idp.sign.config = shibboleth.SigningConfiguration.SHA1; 

Diese Konfiguration kann auch geändert werden:

idp.encryption.optional = true

Wenn Sie den Wert auf true festlegen, wird bei aktiviertem Fehler bei der Suche nach einem zu verwendenden Verschlüsselungsschlüssel keine Anforderung ausfallen. Dies hunterstützt die Verschlüsselung "opportunistisch", d. h., wenn möglich zu verschlüsseln (ein kompatibler Schlüssel ist in den Metadaten des Peers zu verschlüsseln mit), aber die Verschlüsselung andernfalls zu überspringen. 

Konfigurieren von uid und user_main für die SAML-Antwort

Die AttributeDefinition wird in "$shibboleth_home/conf/attribute-resolver.xml" hinzugefügt, um in der SAML-Antwort sAMAccountName und userPrincipalName der Datei zu uid und user_principal zuzuordnen.

Fügen Sie darüber hinaus die LDAP-Connector-Einstellungen mit dem Tag <DataConnector> hinzu.

Hinweis: ReturnAttributes muss mit dem Wert "sAMAccountName userPrincipalName" angegeben werden.

Hinweis: Bei Integration in ein Active Directory (AD) ist LDAPProperty zwingend erforderlich.

          
           
            
            
            
          
 

          
           
            
            
            
          
 
    
          
           
           
             %{idp.attribute.resolver.LDAP.searchFilter} 
            
           
             sAMAccountName userPrincipalName 
            
            
          

Nehmen Sie die Änderungen in "$shibboleth_home/conf/attribute-filter.xml" auf.

IDP-Metadaten

IDP-Metadaten sind im Ordner "$shibboleth_home/metadaten" verfügbar. Die Datei "idp-metadaten.xml" kann über die API (Application Programming Interface) auf IdS hochgeladen werden.

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadaten

wobei idsport keine konfigurierbare Entität ist und der Wert "8553" ist.

Warnung: Shibboleth-Metadaten können zwei Signaturzertifikate, das allgemeine Signaturzertifikat und den Backchannel enthalten. Navigieren Sie zur Datei idp-backchannel.crt in "$shibboleth_home/dentials", um das Backchannel-Zertifikat zu identifizieren. Wenn das Back-Channel-Zertifikat in den Metadaten verfügbar ist, sollten Sie das Back-Channel-Zertifikat aus den Metadaten xml entfernen, bevor Sie es an IdS hochladen. Dies liegt daran, dass die von IdS verwendete Fedlet 12.0-Bibliothek nur ein Zertifikat in den Metadaten unterstützt. Wenn mehr als ein Signaturzertifikat verfügbar ist, verwendet Fedlet das erste verfügbare Zertifikat. 

Metadatenanbieter konfigurieren

Der Eintrag in $shibboleth_home/metadata-providers.xml muss für die Metadatenanbieter konfiguriert werden.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

wobei"id"-Attribut ein beliebiger eindeutiger Name sein kann.

Dieser Eintrag gibt an, dass ein Metadatenanbieter bei der angegebenen ID registriert ist und die Metadaten in der angegebenen Datei /opt/shibboleth-idp/SP/sp.xml verfügbar sind.

Service Provider (SP)-Metadaten von IdS müssen in die im Eintrag angegebene Metadatendatei kopiert werden.

Hinweis: SP-Metadaten von IdS können über GET https://<idshost>:<idsport>/ids/v1/config/spmetadaten abgerufen werden, wobei idsport keine konfigurierbare Einheit ist und der Wert "8553" lautet.