Installeer en configureer de Shibboleth Identity Provider (IDP) voor Cisco Identity Service (IDS) om SSO in te schakelen

Sta verzoeken van alle cliënten toe

Om ervoor te zorgen dat de verzoeken van alle cliënten bereiken, worden de veranderingen vereist in "$shibboleth_home/conf/access-control.xml" 

<entry key="AccessByIPdress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccess Control"
p:allowRanges="#{{127.0.0.1/32','0.0.0.0/0', ':1/128', '10.78.93.103/32'} }" />
</entry>

Voeg '0.0.0.0/0' toe aan het toegestane bereik. Dit staat verzoeken van om het even welke ip waaier toe.

Configureer Shibboleth om te integreren met IDs

Secure Hash Algorithm (SHA1) en coderingsconfiguratie in ID’s

Om IDs te vormen om aan SHA1 in gebreke te blijven, open "$shibboleth_home/conf/idp.properties" en plaats:

idp.sign.config = shibboleth.SigningConfiguration.SHA1 

Deze configuratie kan ook worden gewijzigd:

idp.encryptie.optioneel = waar

Als u deze instelt op true, zal het niet vinden van een te gebruiken coderingssleutel, als deze optie is ingeschakeld, niet leiden tot een foutieve aanvraag. Deze hhelpt om encryptie "opportunistisch" te doen, dat wil zeggen om te versleutelen waar mogelijk (een compatibele sleutel wordt gevonden in de metadata van de peer om mee te versleutelen) maar om encryptie anders over te slaan. 

uid en user_main configureren voor de SAML Response

De AttributeDefinition is toegevoegd in "$shibboleth_home/conf/attribute-resolver.xml" om AMAccountName en userPrincipalName in kaart te brengen aan de to-id en user_principal in de SAML-respons.

Voeg bovendien de instellingen van de LDAP-connector toe met de tag <DataConnector>.

Opmerking: ReturnAttributes dient te worden gespecificeerd met de waarde "sAMAccountName userPrincipalName".

Opmerking: LDAPProperty is verplicht voor het geval er een integratie is met een Active Directory (AD).

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

Neem de wijzigingen op in "$shibboleth_home/conf/attribute-filter.xml"

IDp-metagegevens

IdP metadata is beschikbaar in de map "$shibboleth_home/metadata". Het bestand idp-metadata.xml kan geüpload worden naar IDs via de Application Programming Interface (API)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

waarbij vervoer geen configureerbare entiteit is en de waarde "8553" is

Waarschuwing: Shibboleth metadata kan 2 ondertekeningscertificaten, het algemene ondertekeningscertificaat en het backchannel bevatten. Navigeer naar het bestand idp-backchannel.crt in "$shibboleth_home/referenties" om het backchannel certificaat te identificeren. Als het back channel certificaat beschikbaar is in de metadata, moet U het back channel certificaat verwijderen uit de metadata xml voordat u het uploadt naar IdS. Dit komt doordat fedlet 12.0 bibliotheek die IDS gebruikt slechts één certificaat ondersteunt in de metadata. Als er meer dan één ondertekeningscertificaat beschikbaar is, gebruikt fedlet het eerste beschikbare certificaat. 

Metagegevensproviders configureren

We moeten de metadata providers configureren met de vermelding in $shibboleth_home/metadata-providers.xml.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

waarbij het kenmerk "id" elke unieke naam kan zijn.

Deze vermelding geeft aan dat een metagegevensverstrekker is geregistreerd met de gegeven id en dat de metagegevens beschikbaar zijn in het opgegeven bestand /opt/shibboleth-idp/SP/sp.xml.

De metagegevens van de dienstverlener (SP) van IDs moeten aan het meta-gegevensdossier worden gekopieerd dat in de ingang wordt gespecificeerd.

Opmerking: SP-metadata van IDs kunnen worden opgehaald via GET https://<idshost>:<idsport>/ids/v1/config/spmetadata, waar idsport geen configureerbare entiteit is en de waarde "8553" is.