SAMLAssertion-Richtlinien

<ph type="x-smartling-placeholder"></ph> Sie sehen die Dokumentation zu Apigee Edge.
Gehen Sie zur Apigee X-Dokumentation. Weitere Informationen

Was

• Eingehende Authentifizierung und Autorisierung: Validieren Sie die SAML-Assertion-Richtlinie
  Wenn Sie den SAML-Richtlinientyp verwenden, können API-Proxys SAML-Assertions validieren, die an eingehende ESP-Anfragen angehängt sind. Die SAML-Richtlinie validiert eingehende Nachrichten, die eine digital signierte SAML-Assertion enthalten, lehnt sie ab, wenn sie ungültig sind, und legt Variablen fest, die es zusätzlichen Richtlinien oder den Back-End-Diensten selbst ermöglichen, die Informationen in der Assertion zusätzlich zu validieren.
• Generierung ausgehender Tokens: SAML-Assertion-Richtlinie generieren
  Mit dem SAML-Richtlinientyp können API-Proxys SAML-Assertions an ausgehende XML-Anfragen anhängen. Diese Assertions stehen dann zur Verfügung, damit Backend-Dienste die zusätzliche Sicherheitsverarbeitung für die Authentifizierung und Autorisierung anwenden können.

Beispiele

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Elementverweis

SAML-Assertion generieren

SAML-Assertion validieren

Verwendungshinweise

Die Spezifikation für die Security Assertion Markup Language (SAML) definiert Formate und Protokolle, mit denen Anwendungen XML-formatierte Informationen für die Authentifizierung und Autorisierung austauschen können.

Eine "Sicherheitsassertion" ist ein vertrauenswürdiges Token, das ein Attribut einer App, eines App-Nutzers oder eines anderen Teilnehmers einer Transaktion beschreibt. Sicherheitsassertions werden von zwei Arten von Entitäten verwaltet und verbraucht:

• Identitätsanbieter: Sicherheitsbewertungen im Namen der Teilnehmer generieren
• Dienstanbieter: Assertions über vertrauenswürdige Beziehungen mit Identitätsanbietern validieren

Die API-Plattform kann als Identitätsanbieter und als Dienstanbieter fungieren. Es fungiert als Identitätsanbieter, indem Assertions generiert und an Anfragen angefügt werden, um diese Assertions zur Verarbeitung durch Back-End-Dienste verfügbar zu machen. Sie dient als Dienstanbieter, indem Assertions für eingehende Anfragenachrichten überprüft werden.

Der SAML-Richtlinientyp unterstützt SAML-Assertions, die mit Version 2.0 der SAML Core-Spezifikation und Version 1.0 der Profilspezifikation für das WS-Security SAML-Token-Profil übereinstimmen.

SAML-Assertion generieren

Richtlinienverarbeitung:

1. Wenn die Nachricht nicht XML ist und IgnoreContentType nicht auf true gesetzt ist, wird ein Fehler ausgelöst.
2. Wenn "Vorlage" festgelegt ist, verarbeiten Sie die Vorlage wie in der Richtlinie "AssignMessage" beschrieben. Wenn Variablen fehlen und "IgnoreUnresolvedVariables" nicht festgelegt ist, wird ein Fehler ausgegeben.
3. Wenn "Vorlage" nicht festgelegt ist, erstellen Sie eine Assertion, die die Werte der Parameter "Subject" und "Issuer" oder "Verweis" enthält.
4. Signieren Sie die Assertion mit dem angegebenen Schlüssel.
5. Fügen Sie der Assertion den angegebenen XPath hinzu.

SAML-Assertion validieren

Richtlinienverarbeitung:

1. Die Richtlinie prüft die eingehende Nachricht, um zu bestätigen, dass der Medientyp der Anfrage XML ist. Prüfen Sie, ob der Inhaltstyp den Formaten text/(.*+)?xml oder application/(.*+)?xml. Wenn der Medientyp nicht XML ist und <IgnoreContentType> nicht konfiguriert ist, löst die Richtlinie einen Fehler aus.
2. Die Richtlinie parst den XML. Wenn das Parsen fehlschlägt, wird ein Fehler ausgelöst.
3. Die Richtlinie extrahiert das signierte Element und die Assertion mithilfe der entsprechenden XPaths. angegeben (<SignedElementXPath> und <AssertionXPath>). Wenn einer dieser Pfade kein Element zurückgibt, löst die Richtlinie eine Fehlermeldung aus.
4. Die Richtlinie prüft, ob die Assertion mit dem signierten Element übereinstimmt. ist ein untergeordnetes Element des signierten Elements. Wenn dies nicht zutrifft, löst die Richtlinie eine Fehlermeldung aus.
5. Wenn entweder <NotBefore> oder <NotOnOrAfter> Elemente in der Assertion vorhanden sind, vergleicht die Richtlinie den aktuellen Zeitstempel enthalten, wie in Abschnitt 2.5.1 zu SAML Core beschrieben.
6. In der Richtlinie werden alle zusätzlichen Regeln zur Verarbeitung der Bedingungen angewendet wie beschrieben im Abschnitt 2.5.1.1 zu SAML Core.
7. Die Richtlinie validiert die digitale XML-Signatur unter Verwendung der Werte von <TrustStore> und <ValidateSigner> wie oben beschrieben. Wenn die Validierung fehlschlägt, löst die Richtlinie einen Fehler aus.

Wenn die Richtlinie abgeschlossen ist, ohne einen Fehler auszugeben, kann der Entwickler des Proxys Folgendes ermitteln:

• Die digitale Signatur in der Assertion ist gültig und wurde von einer vertrauenswürdigen Zertifizierungsstelle signiert.
• Die Assertion ist für den aktuellen Zeitraum gültig.
• Der Betreff und der Aussteller der Assertion werden extrahiert und in Ablaufvariablen festgelegt. Es liegt in der Verantwortung anderer Richtlinien, diese Werte für eine zusätzliche Authentifizierung zu verwenden, z. B. um zu überprüfen, ob der Antragstellername gültig ist, oder um ihn zur Validierung an ein Zielsystem zu übergeben.

Andere Richtlinien wie ExtractVariables können verwendet werden, um die Roh-XML der Assertion für eine komplexere Validierung zu parsen.

Ablaufvariablen

Es gibt viele Informationen, die in einer SAML-Assertion angegeben werden können. Die SAML-Assertion selbst ist XML, das mit der ExtractVariables-Richtlinie und anderen Mechanismen geparst werden kann, um komplexere Validierungen zu implementieren.

Fehlerreferenz

Dieser Abschnitt beschreibt die Fehlercodes und Fehlermeldungen, die zurückgegeben werden. und Fehlervariablen, die von Edge festgelegt werden, wenn diese Richtlinie einen Fehler auslöst. Diese Informationen sind wichtig, wenn Sie Fehlerregeln zur Verarbeitung von Fehlern entwickeln. Weitere Informationen finden Sie unter Was Sie über Richtlinienfehler wissen müssen und Fehler beheben.

Bereitstellungsfehler

Diese Fehler können auftreten, wenn Sie einen Proxy bereitstellen, der diese Richtlinie enthält.

Fehlervariablen

Diese Variablen werden bei Laufzeitfehlern festgelegt. Weitere Informationen finden Sie unter Was Sie über Richtlinienfehler wissen müssen.

Beispiel für eine Fehlerantwort

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Beispiel für eine Fehlerregel

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

Weitere Informationen

Variablen extrahieren: Richtlinie zum Extrahieren von Variablen