Installer et configurer le fournisseur d'identité (IdP) Shibboleth pour Cisco Identity Service (IdS) afin d'activer l'authentification unique

Autoriser les requêtes de tous les clients

Pour s'assurer que les requêtes de tous les clients parviennent, des modifications sont nécessaires dans "$shibboleth_home/conf/access-control.xml" 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p : allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Ajoutez '0.0.0.0/0' aux plages autorisées. Cela autorise les requêtes de n'importe quelle plage IP.

Configurer Shibboleth pour l'intégration avec IdS

Configuration de l'algorithme de hachage sécurisé (SHA1) et du cryptage dans les ID

Pour configurer les ID sur SHA1 par défaut, ouvrez "$shibboleth_home/conf/idp.properties" et définissez :

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

Cette configuration peut également être modifiée :

idp.encryption.optional = true

Si vous lui attribuez la valeur true, le fait de ne pas localiser une clé de chiffrement à utiliser, lorsqu'elle est activée, n'entraînera pas l'échec de la demande. Ce haide à effectuer le chiffrement de manière « opportuniste », c'est-à-dire à chiffrer chaque fois que possible (une clé compatible se trouve dans les métadonnées de l'homologue avec laquelle chiffrer), mais à sauter le chiffrement autrement. 

Configurez uid et user_principal sur la réponse SAML

L'AttributeDefinition est ajouté dans "$shibboleth_home/conf/attribute-resolver.xml" pour mapper sAMAccountName et userPrincipalName à uid et user_principal dans la réponse SAML.

En outre, ajoutez les paramètres du connecteur LDAP avec la balise <DataConnector>.

Remarque : ReturnAttributes doit être spécifié avec la valeur "sAMAccountName userPrincipalName".

Remarque : la propriété LDAPProperty est obligatoire en cas d'intégration à Active Directory (AD).

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

Intégrez les modifications dans "$shibboleth_home/conf/attribute-filter.xml"

métadonnées IdP

Les métadonnées IdP sont disponibles dans le dossier "$shibboleth_home/metadata" . Le fichier idp-metadata.xml peut être téléchargé vers les ID via l'API (Application Programming Interface)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

où idsport n'est pas une entité configurable et la valeur est "8553"

Avertissement : Les métadonnées Shibboleth peuvent contenir 2 certificats de signature, le certificat de signature général et le backchannel. Accédez au fichier idp-backchannel.crt dans "$shibboleth_home/credentials" pour identifier le certificat de canal secondaire. Si le certificat de canal secondaire est disponible dans les métadonnées, vous devez supprimer le certificat de canal secondaire du fichier xml de métadonnées avant de le télécharger vers IdS. En effet, la bibliothèque fedlet 12.0 utilisée par IdS ne prend en charge qu'un seul certificat dans les métadonnées. Si plusieurs certificats de signature sont disponibles, le fedlet utilise le premier certificat disponible. 

Configurer les fournisseurs de métadonnées

Nous devons configurer les fournisseurs de métadonnées avec l'entrée dans $shibboleth_home/metadata-providers.xml.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

où "id"attribut peut être n'importe quel nom unique.

Cette entrée indique qu'un fournisseur de métadonnées est inscrit avec l'ID donné et que les métadonnées sont disponibles dans le fichier spécifié /opt/shibboleth-idp/SP/sp.xml.

Les métadonnées du fournisseur de services (SP) des IDs doivent être copiées dans le fichier de métadonnées spécifié dans l'entrée.

Remarque : les métadonnées SP des IDs peuvent être récupérées via GET https://<idshost>:<idsport>/ids/v1/config/spmetadata, où idsport n'est pas une entité configurable et la valeur est "8553".