Spring Security SAML IdP 元数据证书和签名

Question

我看过很多问题，包括 https://stackoverflow.com/a/25384924/1317559 。我有 IdP 元数据和证书，但似乎无法获取 Spring，所以请查看它。

• 已将证​​书添加到 keystore :keytool -importcert -alias adfssigning -keystore samlKeystore.jks -filecertificate.crt
• 元数据中有多个证书(2 个不同的证书)和一个 SignatureValue。
• 我尝试使用相同的 keytool 命令添加签名值，但它不是证书。
• 我还尝试添加在元数据中找到的 2 个证书。

我启用了调试日志，这就是我得到的:

• 使用 KeyInfo 派生凭据成功验证签名
• 尝试建立对 KeyInfo 派生凭据的信任
• 提供的可信名称为空或为空，跳过名称评估
• 尝试对不受信任的凭据进行 PKIX 路径验证:[subjectName='O=novell,OU=accessManager,CN=test-signing']
• 由于不受信任的凭据，PKIX 路径构建失败:[subjectName='O=novell,OU=accessManager,CN=test-signing']:无法找到请求目标的有效证书路径
• 无法通过 PKIX 验证签名凭据建立签名信任
• 无法建立对 KeyInfo 派生凭据的信任
• 无法使用任何 KeyInfo 派生凭据验证签名和/或建立信任
• PKIX 签名验证失败，无法解析有效且可信的签名 key
• 元数据条目的签名信任建立失败 http://idp.ppd.com/nidp/saml2/metadata
• 从 http://idp.ppd.com/nidp/saml2/metadata 过滤元数据时出错org.opensaml.saml2.metadata.provider.FilterException:元数据条目的签名信任建立失败在 org.opensaml.saml2.metadata.provider.SignatureValidationFilter.verifySignature(SignatureValidationFilter.java:312)

Answer 1

Spring SAML 手册在 chapter 7.2.4 中描述了元数据信任验证。 。一种选择是禁用信任检查，或手动从元数据中删除签名 XML。正如您所发现的，导入到 samlKeystore.jks 的证书是用于生成元数据签名的证书，而不是特定 SP 或 IDP 实体的签名/加密证书。