Instalar e Configurar o Shibboleth Identity Provider (IdP) para o Cisco Identity Service (IdS) para ativar o SSO

Permitir solicitações de todos os clientes

Para garantir que as solicitações de todos os clientes cheguem, são necessárias alterações em "$shibboleth_home/conf/access-control.xml" 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

Adicione '0.0.0.0/0' aos intervalos permitidos. Isso permite solicitações de qualquer intervalo de IP.

Configurar Shibboleth para integrar com IdS

Algoritmo de Hash Seguro (SHA1) e configuração de criptografia em IdS

Para configurar o IdS para o padrão SHA1, abra "$shibboleth_home/conf/idp.properties" e defina:

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

Essa configuração também pode ser alterada:

idp.encryption.optional = verdadeiro

Se você definir como verdadeiro, a falha ao localizar uma chave de criptografia a ser usada, quando ativada, não resultará em falha na solicitação. Este hAjuda a fazer a criptografia "oportunamente", isto é, criptografar sempre que possível (uma chave compatível é encontrada nos metadados do peer para criptografar), mas ignorar a criptografia de outra forma. 

Configurar uid e user_principal para a Resposta SAML

A AttributeDefinition é adicionada em "$shibboleth_home/conf/attribute-resolver.xml" para mapear sAMAccountName e userPrincipalName para uid e user_principal na resposta SAML.

Além disso, adicione as configurações do conector ldap com a marca <DataConnector>.

Observação: ReturnAttributes precisa ser especificado com o valor "sAMAccountName userPrincipalName".

Observação: LDAPProperty é obrigatório em caso de integração com um Ative Diretory (AD).

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

Incorpore as alterações em "$shibboleth_home/conf/attribute-filter.xml"

metadados de IdP

Os metadados do IdP estão disponíveis na pasta "$shibboleth_home/metadata". O arquivo idp-metadata.xml pode ser carregado para IdS por meio da API (Application Programming Interface, interface de programação de aplicativos)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

onde idsport não é uma entidade configurável e o valor é "8553"

aviso: Os metadados do Shibboleth podem conter 2 certificados de assinatura, o certificado de assinatura geral e o backchannel. Navegue até o arquivo idp-backchannel.crt em "$shibboleth_home/credentials" para identificar o certificado backchannel. Se o certificado back channel estiver disponível nos metadados, você deve remover o certificado back channel do xml de metadados antes de carregar em IdS. Isso ocorre porque a biblioteca do fedlet 12.0 que o IdS usa suporta apenas um certificado nos metadados. Se mais de um certificado de autenticação estiver disponível, o fedlet usará o primeiro certificado disponível. 

Configurar provedores de metadados

Precisamos configurar os provedores de metadados com a entrada em $shibboleth_home/metadata-providers.xml.

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

onde o atributo"id" pode ser qualquer nome exclusivo.

Esta entrada indica que um provedor de metadados está registrado com a id fornecida e os metadados estão disponíveis no arquivo especificado /opt/shibboleth-idp/SP/sp.xml.

Os metadados SP (Provedor de serviços) de IdS devem ser copiados para o arquivo de metadados especificado na entrada.

Observação: os metadados SP de IdS podem ser recuperados via GET https://<idshost>:<idsport>/ids/v1/config/spmetadata, onde idsport não é uma entidade configurável e o valor é "8553".