為Cisco Identity Service(IdS)安裝和配置Shibboleth Identity Provider(IdP)以啟用SSO

允許來自所有客戶端的請求

為確保來自所有客戶端的請求都能到達，需要在「$shibboleth_home/conf/access-control.xml」中進行更改 

<entry key="AccessByIPAddress">
<bean id="AccessByIPAddress" parent="shibboleth.IPRangeAccessControl"
p:allowedRanges="#{ {'127.0.0.1/32','0.0.0.0/0', '::1/128', '10.78.93.103/32'} }" />
</entry>

將'0.0.0.0/0'新增到允許的範圍。這允許來自任何ip範圍的請求。

配置Shibboeth以與IdS整合

IdS中的安全雜湊演演算法(SHA1)和加密配置

要將Id配置為預設的SHA1，請開啟「$shibboleth_home/conf/idp.properties」並設定：

idp.signing.config = shibboeth.SigningConfiguration.SHA1 

此配置也可更改：

idp.encryption.optional = true

如果將其設定為true，則當啟用時，找不到要使用的加密金鑰不會導致請求失敗。此h有助於進行「機會式」加密，即儘可能進行加密（在對等體的後設資料中發現要加密的相容金鑰），但會跳過加密。 

將uid和user_principal配置為SAML響應

在"$shibboleth_home/conf/attribute-resolver.xml"中新增AttributeDefinition以將sAMAccountName和userPrincipalName對映到SAML響應中的to uid和user_principal。

此外，新增帶有<DataConnector>標籤的LDAP聯結器設定。

註意：需要使用值「sAMAccountName userPrincipalName」指定ReturnAttributes。

註：如果與Active Directory(AD)整合，則必須使用LDAPProperty。

        
         
          
          
          
        
 

        
         
          
          
          
        
 
    
        
         
         
           %{idp.attribute.resolver.LDAP.searchFilter} 
          
         
           sAMAccountName userPrincipalName 
          
          
        

在"$shibboleth_home/conf/attribute-filter.xml"中合併更改

IdP後設資料

IdP後設資料在資料夾「$shibboleth_home/metadata」中可用。 idp-metadata.xml檔案可以通過應用程式程式設計介面(API)上載到IdS

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

其中disport不可配置實體，且值為"8553"

警告：Shibboeth後設資料可包含2個簽名證書、常規簽名證書和backchannel。導航到"$shibboleth_home/credentials"中的idp-backchannel.crt檔案以標識後台證書。如果後台證書在後設資料中可用，則應在上載到IdS之前從後設資料xml中刪除後台證書。這是因為IdS使用的Fedlet 12.0庫僅支援後設資料中的一個證書。如果有多個簽名證書可用，則Fedlet使用第一個可用證書。 

配置後設資料提供程式

我們需要使用$shibboleth_home/metadata-providers.xml中的條目配置後設資料提供程式。

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

其中「id」屬性可以是任何唯一名稱。

此條目表示已使用給定ID註冊後設資料提供程式，並且後設資料在指定的檔案/opt/shibboleth-idp/SP/sp.xml中可用。

必須將IdS的Service Provider(SP)後設資料複製到條目中指定的後設資料檔案。

注意：可以通過GET https://<idshost>:<idsport>/ids/v1/config/spmetadata 檢索ID的SP後設資料，其中idsport不是可配置實體，其值為「8553」。