Installare e configurare il provider di identità di Shibboleth (IdP) per Cisco Identity Service (IdS) per abilitare l'SSO

Consenti richieste da tutti i client

Per garantire che le richieste provenienti da tutti i client vengano soddisfatte, sono necessarie modifiche in "$shibboleth_home/conf/access-control.xml" 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Aggiungere '0.0.0.0/0' agli intervalli consentiti. Ciò consente richieste da qualsiasi intervallo IP.

Configurare Shibboleth per l'integrazione con IdS

Configurazione SHA1 (Secure Hash Algorithm) e crittografia in IdS

Per configurare IdS in modo da impostare SHA1 come predefinito, aprire "$shibboleth_home/conf/idp.properties" e impostare:

idp.sign.config = shibboleth.SigningConfiguration.SHA1 

La configurazione può anche essere modificata:

idp.encryption.optional = true

Se la proprietà viene impostata su true, l'impossibilità di individuare una chiave di crittografia da utilizzare, quando attivata, non determinerà un errore nella richiesta. Questa hconsente di eseguire la crittografia "opportunisticamente", ovvero di crittografare ogni volta che è possibile (una chiave compatibile si trova nei metadati del peer con cui eseguire la crittografia), ma di ignorare la crittografia in caso contrario. 

Configurare uid e user_principal per la risposta SAML

AttributeDefinition viene aggiunto in "$shibboleth_home/conf/attribute-resolver.xml" per mappare sAMAccountName e userPrincipalName all'uid e all'user_principal nella risposta SAML.

Inoltre, aggiungere le impostazioni del connettore LDAP con il tag <DataConnector>.

Nota: è necessario specificare ReturnAttributes con il valore "sAMAccountName userPrincipalName".

Nota: LDAPProperty è obbligatorio in caso di integrazione con Active Directory (AD).

        
         
          
          
          
        
 

        
         
          
          
          
        
 
    
        
         
         
           %{idp.attribute.resolver.LDAP.searchFilter} 
          
         
           sAMAccountName userPrincipalName 
          
          
        

Incorpora le modifiche in "$shibboleth_home/conf/attribute-filter.xml"

Metadati IdP

I metadati IdP sono disponibili nella cartella "$shibboleth_home/metadata" . Il file idp-metadata.xml può essere caricato in IdS tramite l'API (Application Programming Interface)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

dove idsport non è un'entità configurabile e il valore è "8553"

Avviso: I metadati Shibboleth possono contenere 2 certificati di firma, il certificato di firma generale e il backchannel. Passare al file idp-backchannel.crt in "$shibboleth_home/credentials" per identificare il certificato backchannel. Se il certificato backchannel è disponibile nei metadati, è necessario rimuovere il certificato backchannel dal file xml dei metadati prima di caricarlo in IdS. Ciò è dovuto al fatto che la libreria Fedlet 12.0 utilizzata da IdS supporta solo un certificato nei metadati. Se è disponibile più di un certificato di firma, viene utilizzato il primo certificato disponibile. 

Configura provider di metadati

È necessario configurare i provider di metadati con la voce in $shibboleth_home/metadata-providers.xml.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

dove"id" può essere qualsiasi nome univoco.

Questa voce indica che un provider di metadati è registrato con l'ID specificato e che i metadati sono disponibili nel file specificato /opt/shibboleth-idp/SP/sp.xml.

I metadati di IdS di Service Provider (SP) devono essere copiati nel metadataFile specificato nella voce.

Nota: i metadati SP di IdS possono essere recuperati tramite GET https://<idshost>:<idsport>/ids/v1/config/spmetadata, dove idsport non è un'entità configurabile e il valore è "8553".