安装和配置思科身份服务(IdS)的Shibboleth身份提供程序(IdP)以启用SSO

允许来自所有客户端的请求

为了确保来自所有客户端的请求都能到达，"$shibboleth_home/conf/access-control.xml"中需要进行更改 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

将'0.0.0.0/0'添加到允许的范围。这允许来自任何ip范围的请求。

配置Shiboleth以与IdS集成

IdS中的安全散列算法(SHA1)和加密配置

要将Id配置为默认的SHA1，请打开“$shibboleth_home/conf/idp.properties”并进行设置：

idp.signing.config = shiboleth.SigningConfiguration.SHA1 

此配置也可更改：

idp.encryption.optional = true

如果将其设置为true，则在启用时，找不到要使用的加密密钥不会导致请求失败。此h有助于进行“机会式”加密，即尽可能进行加密（在对等体的元数据中发现要加密的兼容密钥），否则跳过加密。 

配置SAML响应的uid和user_principal

AttributeDefinition添加在"$shibboleth_home/conf/attribute-resolver.xml"中，以将sAMAccountName和userPrincipalName映射到SAML响应中的to uid和user_principal。

此外，添加带有标记<DataConnector>的ldap连接器设置。

注意：ReturnAttributes需要使用值“sAMAccountName userPrincipalName”来指定。

注意：如果与Active Directory(AD)集成，则必须使用LDAPProperty。

 
 
 

 

 
 
 

 
    
        
            
                %{idp.attribute.resolver.LDAP.searchFilter}
            
        
      sAMAccountName userPrincipalName
      
    

在“$shibboleth_home/conf/attribute-filter.xml”中合并更改

IdP元数据

IdP元数据在文件夹“$shibboleth_home/metadata”中可用。 idp-metadata.xml文件可以通过应用程序编程接口(API)上载到IdS

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

其中dissport不可配置实体且值为“8553”

警告：Shibboleth元数据可以包含2个签名证书、常规签名证书和backchannel。导航到"$shibboleth_home/credentials"中的文件idp-backchannel.crt以标识备用通道证书。如果备用通道证书在元数据中可用，则应在上载到IdS之前从元数据xml中删除备用通道证书。这是因为IdS使用的Fedlet 12.0库在元数据中仅支持一个证书。如果有多个签名证书可用，则Fedlet使用第一个可用证书。 

配置元数据提供程序

我们需要使用$shibboleth_home/metadata-providers.xml中的条目配置元数据提供程序。

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

其中"id"属性可以是任何唯一名称。

此条目表示已使用给定ID注册元数据提供程序，并且元数据在指定文件/opt/shibboleth-idp/SP/sp.xml中可用。

必须将IdS的服务提供程序(SP)元数据复制到条目中指定的元数据文件。

注意：IdS的SP元数据可以通过GET https://<idshost>:<idsport>/ids/v1/config/spmetadata检索，其中idsport不是可配置的实体，其值为“8553”。