Cisco Identity Service(IdS)のShibboleth Identity Provider(IdP)をインストールおよび設定してSSOを有効にする

すべてのクライアントからの要求を許可する

すべてのクライアントからの要求が確実に到達するように、変更は"$shibboleth_home/conf/access-control.xml"で必要です。 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

許可された範囲に'0.0.0.0/0'を追加します。これにより、任意のIP範囲からの要求が可能になります。

IdSと統合するためのShibbolethの設定

IdSでのセキュアハッシュアルゴリズム(SHA1)と暗号化の設定

SHA1をデフォルトとして使用するようにIdSを設定するには、$shibboleth_home/conf/idp.propertiesを開いて次を設定します。

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

この設定は、次のように変更することもできます。

idp.encryption.optional = true

trueに設定した場合、使用する暗号化キーを見つけられなかった場合、有効にしても要求は失敗しません。このh暗号化を「機会があれば実行する」、つまり、可能な限り暗号化する（暗号化に使用するピアのメタデータ内に互換性のあるキーが見つかった場合）が可能ですが、それ以外の場合は暗号化をスキップします。 

SAML応答へのuidおよびuser_principalの設定

sAMAccountNameとuserPrincipalNameをSAML応答内のto uidおよびuser_principalにマッピングするために、AttributeDefinitionが$shibboleth_home/conf/attribute-resolver.xmlに追加されます。

さらに、<DataConnector>タグを使用してLDAPコネクタ設定を追加します。

注:ReturnAttributesは値「sAMAccountName userPrincipalName」で指定する必要があります。

注:Active Directory(AD)と統合されている場合は、LDAPPropertyが必須です。

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

変更を"$shibboleth_home/conf/attribute-filter.xml"に反映

IdPメタデータ

IdPメタデータは、「$shibboleth_home/metadata」フォルダにあります。 idp-metadata.xmlファイルは、アプリケーションプログラミングインターフェイス(API)経由でIdSにアップロードできます

https://<idshost>:<idsport>/ids/v1/config/idpmetadataを入力します。

idsportは設定可能なエンティティではなく、値は「8553」です。

警告:Shibbolethメタデータには、2つの署名証明書（一般署名証明書とバックチャネル）を含めることができます。"$shibboleth_home/credentials"にあるidp-backchannel.crtファイルに移動し、バックチャネル証明書を特定します。 バックチャネル証明書がメタデータで使用可能な場合、IdSにアップロードする前に、メタデータxmlからバックチャネル証明書を削除する必要があります。これは、IdSが使用するFEDLET 12.0ライブラリがメタデータで1つの証明書のみをサポートするためです。複数の署名証明書が使用可能な場合、fedletは最初に使用可能な証明書を使用します。 

メタデータプロバイダーの構成

メタデータプロバイダーは、$shibboleth_home/metadata-providers.xmlのエントリで設定する必要があります。

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

ここで「id」属性は、任意の一意の名前にすることができます。

このエントリは、指定されたIDでメタデータプロバイダが登録され、指定されたファイル/opt/shibboleth-idp/SP/sp.xmlでメタデータが使用可能であることを示します。

IdSのサービスプロバイダー(SP)メタデータは、エントリで指定されているmetadataFileにコピーする必要があります。

注：IdSのSPメタデータは、GET https://<idshost>:<idsport>/ids/v1/config/spmetadataを使用して取得できます。ここで、idsport は設定可能なエンティティではなく、値は「8553」です。