SAML 宣告政策

查看 Apigee Edge 說明文件。
前往 Apigee X說明文件。 資訊

結果

• 傳入驗證和授權：驗證 SAML 宣告 政策
  透過 SAML 政策類型，API Proxy 可以驗證已附加的 SAML 宣告 傳入的 SOAP 請求中。SAML 政策會驗證傳入郵件， 數位簽署的 SAML 斷言、拒絕無效宣告，並設定 允許額外的政策或後端服務本身，進一步驗證資訊 插入文字。
• 產生傳出權杖：產生 SAML 宣告政策
  SAML 政策類型可讓 API Proxy 將 SAML 宣告附加至傳出 XML 要求。 這些斷言可供後端服務運用，進一步套用安全性 來處理驗證和授權的程序

範例

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

元素參照

產生 SAML 宣告

驗證 SAML 宣告

使用須知

安全宣告標記語言 (SAML) 規格會定義 可讓應用程式交換 XML 格式資訊，以進行驗證及 或授權。

一項「安全性聲明」是信任的權杖，用於描述應用程式使用者的屬性、應用程式使用者 或交易中的其他參與者。資安斷言是由兩個端點管理及消耗 實體類型：

• 識別資訊提供者：代表參與者產生安全性斷言
• 服務供應商：透過與身分的信任關係驗證安全性斷言 提供者

API 平台能夠做為識別資訊提供者和服務供應商。如同 產生斷言並附加至要求訊息，藉此建立斷言 可供後端服務處理的斷言。做為服務供應商 驗證傳入要求訊息的斷言。

SAML 政策類型支援與 SAML Core 2.0 版相符的 SAML 宣告 WS-Security SAML 權杖設定檔規格的規格和 1.0 版。

產生 SAML 宣告

政策處理：

1. 如果訊息不是 XML，且 IgnoreContentType 未設為 true，則 並傳送錯誤
2. 如果為「Template」，然後按照 AssignMessage 政策中說明處理範本。 如果缺少任何變數且未設定 IgnoreUnresolvedVariables，請引發錯誤。
3. 如果為「Template」未設定，然後建構內含 主旨和核發者參數或其參照。
4. 使用指定金鑰簽署斷言。
5. 將斷言新增至指定的 XPath 訊息。

驗證 SAML 宣告

政策處理：

1. 這項政策會檢查傳入訊息，驗證要求的媒體類型是否為 XML。 請檢查內容類型是否符合 text/(.*+)?xml 或 application/(.*+)?xml。如果媒體類型不是 XML， 如果未設定 <IgnoreContentType>，這項政策會引發錯誤。
2. 這項政策會剖析 XML。如果剖析失敗，就會引發錯誤。
3. 這項政策會使用各自的 XPath 擷取已簽署元素和斷言 指定 (<SignedElementXPath> 和 <AssertionXPath>)。 如果上述任一路徑未傳回元素，政策就會引發錯誤。
4. 這項政策會驗證斷言與已簽署的元素相同。 是已簽署元素的子項。如果禁止，政策就會引發錯誤。
5. 如果 <NotBefore> 或 <NotOnOrAfter> 其中之一 元素都存在於斷言中，政策就會根據 這些值如 SAML Core 第 2.5.1 節所述。
6. 這項政策將套用任何其他處理「條件」規則 。
7. 這項政策會使用 <TrustStore> 和 <ValidateSigner> (如上所述)。 如果驗證失敗，這項政策會引發錯誤。

等政策完成後再提出錯誤，但 Proxy 的開發人員 下列項目：

• 斷言中的數位簽章有效，且由信任的 CA 簽署
• 斷言在目前時間範圍內有效
• 系統會擷取斷言的主體和核發者，並在流程變數中設定。是 其他政策也必須負責將這些值用於其他驗證，例如 檢查主體名稱是否有效，或傳遞至目標系統進行驗證。

ExtractVariables 等其他政策可能會用於剖析斷言的原始 XML 來處理更複雜的驗證方式

流程變數

SAML 宣告中可以指定許多資訊。SAML 斷言本身是 XML，可使用 ExtractVariables 政策和其他 機制來處理更複雜的驗證。

錯誤參考資料

This section describes the fault codes and error messages that are returned and fault variables that are set by Edge when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. To learn more, see What you need to know about policy errors and Handling faults.

Deployment errors

These errors can occur when you deploy a proxy containing this policy.

Fault variables

These variables are set when a runtime error occurs. For more information, see What you need to know about policy errors.

Example error response

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Example fault rule

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

相關主題

擷取變數：擷取變數 政策