SAML 宣告政策

您目前查看的是 Apigee Edge 說明文件。
前往 Apigee X 說明文件。 info

結果

• 傳入驗證和授權：驗證 SAML 聲明政策
  API Proxy 可透過 SAML 政策類型，驗證附加至傳入 SOAP 要求的 SAML 聲明。SAML 政策會驗證含有數位簽章 SAML 聲明的傳入訊息，如果無效則會拒絕，並設定變數，讓其他政策或後端服務本身進一步驗證聲明中的資訊。
• 傳出權杖產生：產生 SAML 聲明政策
  API Proxy 可透過 SAML 政策類型，將 SAML 聲明附加至傳出的 XML 要求。 這些判斷結果隨後會提供給後端服務，以便進行驗證和授權，進一步處理安全性事宜。

範例

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

元素參考資料

產生 SAML 聲明

驗證 SAML 聲明

使用須知

安全宣告標記語言 (SAML) 規格定義了格式和通訊協定，可讓應用程式交換 XML 格式的資訊，以進行驗證和授權。

「安全聲明」是描述應用程式、應用程式使用者或交易中其他參與者屬性的可信權杖。安全聲明由兩種類型的實體管理及使用：

• 身分識別提供者：代表參與者產生安全聲明
• 服務供應商：透過與身分識別提供者的信任關係，驗證安全聲明

API 平台可做為身分識別提供者和服務供應商。它會產生聲明並附加至要求訊息，做為身分識別提供者，供後端服務處理這些聲明。這個端點會驗證傳入要求訊息中的聲明，做為服務供應商。

SAML 政策類型支援符合 SAML Core 規格 2.0 版和 WS-Security SAML 權杖設定檔規格 1.0 版的 SAML 判斷。

產生 SAML 聲明

政策處理：

1. 如果訊息不是 XML，且 IgnoreContentType 未設為 true，則會引發錯誤。
2. 如果設定為「範本」，請按照 AssignMessage 政策的說明處理範本。 如果缺少任何變數，且未設定 IgnoreUnresolvedVariables，則會引發錯誤。
3. 如果未設定「範本」，請建構包含「主體」和「簽發者」參數值或參照的聲明。
4. 使用指定金鑰簽署判斷。
5. 在指定 XPath 的訊息中加入判斷結果。

驗證 SAML 聲明

政策處理：

1. 這項政策會檢查傳入的訊息，確認要求的媒體類型是否為 XML，方法是檢查內容類型是否符合 text/(.*+)?xml 或 application/(.*+)?xml 格式。如果媒體類型不是 XML，且未設定 <IgnoreContentType>，政策就會引發錯誤。
2. 這項政策會剖析 XML。如果剖析失敗，系統會引發錯誤。
3. 這項政策會使用指定的 XPath (<SignedElementXPath> 和 <AssertionXPath>) 擷取已簽署的元素和判斷結果。如果其中一個路徑未傳回元素，這項政策就會引發錯誤。
4. 這項政策會驗證聲明是否與已簽署的元素相同，或是已簽署元素的子項。如果不是，政策就會引發錯誤。
5. 如果斷言中出現 <NotBefore> 或 <NotOnOrAfter> 元素，政策會根據這些值檢查目前的時間戳記，如 SAML Core 2.5.1 節所述。
6. 這項政策會套用處理「條件」的任何額外規則，如 SAML Core 第 2.5.1.1 節所述。
7. 這項政策會使用上述信任存放區值 (<TrustStore>) 驗證 XML 數位簽章。如果驗證失敗，政策就會觸發錯誤訊息。

如果政策順利完成且未引發錯誤，Proxy 開發人員可以確定以下事項：

• 聲明中的數位簽章有效，且是由可信任的 CA 簽署
• 聲明在目前時間範圍內有效
• 系統會擷取判斷結果的主體和簽發者，並在流程變數中設定。其他政策有責任使用這些值進行額外驗證，例如檢查主體名稱是否有效，或將其傳遞至目標系統進行驗證。

您可以使用其他政策 (例如 ExtractVariables) 剖析判斷的原始 XML，進行更複雜的驗證。

流程變數

SAML 判斷聲明中可指定許多資訊。SAML 聲明本身是 XML，可使用 ExtractVariables 政策和其他機制剖析，以便實作更複雜的驗證。

錯誤參考資料

本節說明系統傳回的錯誤代碼和錯誤訊息 這項政策觸發錯誤時，由 Edge 設定的錯誤變數。 請務必瞭解這份資訊，以便瞭解您是否要擬定錯誤規則， 處理錯誤詳情請參閱這篇文章 瞭解政策錯誤和處理方式 發生錯誤

部署錯誤

當您部署含有這項政策的 Proxy 時，可能會發生這些錯誤。

錯誤變數

系統會在發生執行階段錯誤時設定這些變數。詳情請參閱重要須知 政策錯誤。

錯誤回應範例

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

錯誤規則範例

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

相關主題

擷取變數：擷取變數政策