Instalar y configurar el proveedor de identidad de Shibboleth (IdP) para Cisco Identity Service (IdS) para habilitar SSO

Permitir solicitudes de todos los clientes

Para garantizar que las solicitudes de todos los clientes lleguen a , se requieren cambios en "$shibboleth_home/conf/access-control.xml" 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Agregue '0.0.0.0/0' a los intervalos permitidos. Esto permite solicitudes desde cualquier rango de IP.

Configurar Shibboleth para integrarlo con IdS

Configuración de algoritmo hash seguro (SHA1) y cifrado en IdS

Para configurar los IdS de forma predeterminada en SHA1, abra "$shibboleth_home/conf/idp.properties" y establezca:

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

Esta configuración también se puede cambiar:

idp.encryption.optional = true

Si lo establece en true, si no se encuentra una clave de cifrado que se va a utilizar, cuando esté habilitada, no se producirá un error en la solicitud. Esta hAyuda a realizar el cifrado "oportunamente", es decir, cifrar siempre que sea posible (se encuentra una clave compatible en los metadatos del par con la que cifrar), pero omitir el cifrado en caso contrario. 

Configure uid y user_principal para la respuesta SAML

AttributeDefinition se agrega en "$shibboleth_home/conf/attribute-resolver.xml" para asignar sAMAccountName y userPrincipalName a uid y user_principal en la respuesta SAML.

Además, agregue la configuración del conector ldap con la etiqueta <DataConnector>.

Nota: ReturnAttributes debe especificarse con el valor "sAMAccountName userPrincipalName".

Nota: LDAPProperty es obligatorio en caso de que haya integración con Active Directory (AD).

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

Incorpore los cambios en "$shibboleth_home/conf/attribute-filter.xml"

Metadatos de IdP

Los metadatos de IdP están disponibles en la carpeta "$shibboleth_home/metadata" . El archivo idp-metadata.xml se puede cargar a IdS a través de la Interfaz de programación de aplicaciones (API)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

donde idsport no es una entidad configurable y el valor es "8553"

Advertencia: Los metadatos de Shibboleth pueden contener 2 certificados de firma, el certificado de firma general y el backchannel. Navegue hasta el archivo idp-backchannel.crt en "$shibboleth_home/credentials" para identificar el certificado de backchannel. Si el certificado de back channel está disponible en los metadatos, debe eliminar el certificado de back channel del xml de metadatos antes de cargarlo en IdS. Esto se debe a que la biblioteca de fedlet 12.0 que usa IdS sólo admite un certificado en los metadatos. Si hay más de un certificado de firma disponible, fedlet utiliza el primer certificado disponible. 

Configurar proveedores de metadatos

Tenemos que configurar los proveedores de metadatos con la entrada en $shibboleth_home/metadata-providers.xml.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

donde"id"atributo puede ser cualquier nombre único.

Esta entrada indica que un proveedor de metadatos está registrado con el id. proporcionado y que los metadatos están disponibles en el archivo especificado /opt/shibboleth-idp/SP/sp.xml.

Los metadatos del proveedor de servicios (SP) de IdS deben copiarse en el archivo de metadatos especificado en la entrada.

Nota: Los metadatos SP de IdS se pueden recuperar a través de GET https://<idshost>:<idsport>/ids/v1/config/spmetadata, donde idsport no es una entidad configurable y el valor es "8553".