java - 为 SP 生成 OpenSaml 元数据

Question

我正在尝试使用 SAML2 实现 SSO，并且我的应用程序是 Multi-Tenancy 的并充当 SP。我目前正在努力生成 SP 元数据，但我有点卡在加密方面，除了 Stefan Rasmusson 在那里发布的内容(我什至买了他的书)之外，似乎找不到任何示例，但没有一个它似乎涵盖了元数据的生成。我的问题是，对于元数据中包含的公钥，生成这些公钥的最佳方法是什么。我应该使用现有的 jks 来签署其余消息，即:authnrequests 等，还是这些 key 应该是单独的，并且 key 对于验证签名与加密数据应该是唯一的吗？我有点迷失了，找不到太多文档，所以任何帮助将不胜感激。我看过这篇文章:http://blog.samlsecurity.com/2012/02/generating-metadata-with-opensaml.html但他似乎是在即时生成 key ，这在制作中并不会真正起作用。预先感谢您的帮助!

Answer 1

在制作中，您当然不会即时生成 key 。您必须向 IDP 注册您的 SP 元数据，这样就不容易工作(除非 IDP 在您的控制之下)。

允许 SP to have two private keys ，一个用于签名，一个用于加密/解密，但这不是强制性的。我遇到的大多数生产案例，两者都使用相同的 key 。我希望这会有所帮助。

看来您已经完成了 Shibboleth SP 设置，因此这个答案的其余部分似乎没有必要。但为了完整起见，以下是获得可用的 Shibboleth SP 的步骤。

• 获取或构建私钥存储和证书。这可以是自签名的或来自 CA
• 为 SP 创建元数据文件并向联盟注册。 “签名”和“加密”部分的条目将包含上一步中获得的证书。
• 为 SP 将接受的各种 SAML 绑定(bind)指定 AssertionConsumerService URL。 IDP 将向这些网址之一发回响应

示例 SP 元数据 xml 文档如下所示:

<md:EntityDescriptor entityID="https://mysp.example.com/shibboleth-sp" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata">
    <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:1.1:protocol urn:oasis:names:tc:SAML:2.0:protocol" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata">
        <md:KeyDescriptor use="signing">
            <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                <ds:KeyName>mysp.example.com</ds:KeyName>
                <ds:X509Data>
            <ds:X509Certificate xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                REPLACE_ENTITY_ID_AND_ACS_URL_AND_PUT_YOUR_CERTIFICATE_HERE
            </ds:X509Certificate>
                </ds:X509Data>
            </ds:KeyInfo>
        </md:KeyDescriptor>
        <md:KeyDescriptor use="encryption">
            <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                <ds:KeyName>mysp.example.com</ds:KeyName>
                <ds:X509Data>
            <ds:X509Certificate xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
                REPLACE_ENTITY_ID_AND_ACS_URL_AND_PUT_YOUR_CERTIFICATE_HERE
            </ds:X509Certificate>
                </ds:X509Data>
            </ds:KeyInfo>
        </md:KeyDescriptor>
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="http://mysp.example.com/shibboleth/Shibboleth.sso/SAML2/POST" index="1"/>
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" Location="http://mysp.example.com/shibboleth/Shibboleth.sso/SAML2/Artifact" index="2"/>
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:1.0:profiles:artifact-01" Location="http://mysp.example.com/shibboleth/Shibboleth.sso/SAML/Artifact" index="3"/>
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:1.0:profiles:browser-post" Location="http://mysp.example.com/shibboleth/Shibboleth.sso/SAML/POST" index="4"/>
    </md:SPSSODescriptor>
</md:EntityDescriptor>