SSO를 활성화하기 위해 Cisco Identity Service(Id)용 Shibboleth IdP(Identity Provider)를 설치하고 구성합니다

모든 클라이언트의 요청 허용

모든 클라이언트의 요청이 도달할 수 있도록 하려면 "$shibboleth_home/conf/access-control.xml"에서 변경해야 합니다. 

<entry key= " AccessByIPAddress ">
<bean id= " AccessByIPAddress " parent= " shibboleth.IPRangeAccessControl "
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

허용되는 범위에 '0.0.0.0/0'을 추가합니다. 이는 모든 ip 범위에서 요청을 허용합니다.

Id와 통합하도록 Shibboleth 구성

SHA1(Secure Hash Algorithm) 및 Id의 암호화 컨피그레이션

ID를 SHA1의 기본값으로 구성하려면 "$shibboleth_home/conf/idp.properties"을 열고 다음을 설정합니다.

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

이 컨피그레이션도 변경할 수 있습니다.

idp.encryption.optional = true

true로 설정하면 사용할 암호화 키를 찾지 못하면 요청이 실패합니다. 이 h암호화를 "기회주의적"으로 수행할 수 있습니다. 즉, 가능하면 암호화하되(암호화할 피어의 메타데이터에서 호환되는 키가 발견됨), 그렇지 않으면 암호화를 건너뜁니다. 

SAML 응답에 uid 및 user_principal 구성

AttributeDefinition이 "$shibboleth_home/conf/attribute-resolver.xml"에 추가되어 sAMAccountName 및 userPrincipalName을 SAML 응답의 uid 및 user_principal에 매핑합니다.

또한 <DataConnector> 태그와 함께 ldap 커넥터 설정을 추가합니다.

참고: ReturnAttributes는 "sAMAccountName userPrincipalName" 값으로 지정해야 합니다.

참고: AD(Active Directory)와의 통합이 있는 경우 LDAPProperty는 필수입니다.

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

"$shibboleth_home/conf/attribute-filter.xml"의 변경 사항 통합

IdP 메타데이터

IdP 메타데이터는 "$shibboleth_home/metadata" 폴더에서 사용할 수 있습니다. idp-metadata.xml 파일은 API(Application Programming Interface)를 통해 ID에 업로드할 수 있습니다

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

여기서 idsport는 구성 가능한 엔티티가 아니며 값은 "8553"입니다.

경고: Shibboleth 메타데이터는 2개의 서명 인증서, 일반 서명 인증서 및 백채널을 포함할 수 있습니다. "$shibboleth_home/credentials"의 idp-backchannel.crt 파일로 이동하여 백채널 인증서를 식별합니다. 메타데이터에서 백채널 인증서를 사용할 수 있는 경우 IdS로 업로드하기 전에 메타데이터 xml에서 백채널 인증서를 제거해야 합니다. 이는 IdS가 사용하는 Fedlet 12.0 라이브러리가 메타데이터에서 하나의 인증서만 지원하기 때문입니다. 둘 이상의 서명 인증서를 사용할 수 있는 경우, fedlet은 사용 가능한 첫 번째 인증서를 사용합니다. 

메타데이터 공급자 구성

$shibboleth_home/metadata-providers.xml의 항목으로 메타데이터 공급자를 구성해야 합니다.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

여기서"id" 특성은 고유한 이름일 수 있습니다.

이 항목은 메타데이터 공급자가 지정된 ID로 등록되었으며 지정된 파일 /opt/shibboleth-idp/SP/sp.xml에서 메타데이터를 사용할 수 있음을 나타냅니다.

Id의 SP(서비스 공급자) 메타데이터를 항목에 지정된 metadataFile에 복사해야 합니다.

참고: ID의 SP 메타데이터는 GET https://<ishost>:<idsport>/ids/v1/config/spmetadata를 통해 검색할 수 있습니다. 여기서 idsport는 구성 가능한 엔티티가 아니며 값은 "8553"입니다.