นโยบาย SAMLAssertion

คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่เอกสารประกอบของ Apigee X info

อะไร

• การตรวจสอบสิทธิ์และการให้สิทธิ์ขาเข้า: ตรวจสอบการยืนยัน SAML policy
  ประเภทนโยบาย SAML ช่วยให้พร็อกซี API ตรวจสอบการยืนยัน SAML ที่แนบมากับ คำขอ SOAP ขาเข้าได้ นโยบาย SAML จะตรวจสอบข้อความขาเข้าที่มีการยืนยันสิทธิ์ SAML ที่ลงนามแบบดิจิทัล ปฏิเสธข้อความหากไม่ถูกต้อง และตั้งค่าตัวแปรที่อนุญาตให้นโยบายเพิ่มเติมหรือบริการแบ็กเอนด์เองตรวจสอบข้อมูลในการยืนยันสิทธิ์เพิ่มเติม
• การสร้างโทเค็นขาออก: สร้างนโยบายการยืนยัน SAML
  ประเภทนโยบาย SAML ช่วยให้พร็อกซี API แนบการยืนยัน SAML กับคำขอ XML ขาออกได้ จากนั้นการยืนยันเหล่านั้นจะพร้อมใช้งานเพื่อให้บริการแบ็กเอนด์ใช้การประมวลผลด้านความปลอดภัยเพิ่มเติมสำหรับการตรวจสอบสิทธิ์และการให้สิทธิ์ได้

ตัวอย่าง

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

การอ้างอิงองค์ประกอบ

สร้างการยืนยัน SAML

ตรวจสอบการยืนยัน SAML

หมายเหตุการใช้งาน

ข้อกำหนดของภาษามาร์กอัปเพื่อยืนยันความปลอดภัย (SAML) จะกำหนดรูปแบบและโปรโตคอลที่ ช่วยให้แอปพลิเคชันแลกเปลี่ยนข้อมูลในรูปแบบ XML เพื่อการตรวจสอบสิทธิ์และ การให้สิทธิ์ได้

"การยืนยันความปลอดภัย" คือโทเค็นที่เชื่อถือได้ซึ่งอธิบายแอตทริบิวต์ของแอป ผู้ใช้แอป หรือผู้เข้าร่วมรายอื่นๆ ในธุรกรรม การยืนยันความปลอดภัยได้รับการจัดการและใช้โดยเอนทิตี 2 ประเภท ดังนี้

• ผู้ให้บริการข้อมูลประจำตัว: สร้างการยืนยันความปลอดภัยในนามของผู้เข้าร่วม
• ผู้ให้บริการ: ตรวจสอบการยืนยันความปลอดภัยผ่านความสัมพันธ์ที่เชื่อถือได้กับผู้ให้บริการข้อมูลประจำตัว

แพลตฟอร์ม API สามารถทำหน้าที่เป็นผู้ให้บริการข้อมูลประจำตัวและผู้ให้บริการได้ โดยจะทำหน้าที่เป็น ผู้ให้บริการข้อมูลประจำตัวด้วยการสร้างการยืนยันและแนบไปกับข้อความคำขอ เพื่อให้ การยืนยันเหล่านั้นพร้อมให้ประมวลผลโดยบริการแบ็กเอนด์ โดยจะทำหน้าที่เป็นผู้ให้บริการด้วยการ ตรวจสอบการยืนยันในข้อความคำขอขาเข้า

ประเภทนโยบาย SAML รองรับการยืนยัน SAML ที่ตรงกับเวอร์ชัน 2.0 ของข้อกำหนดหลักของ SAML และเวอร์ชัน 1.0 ของข้อกำหนดโปรไฟล์โทเค็น SAML ของ WS-Security

สร้างการยืนยัน SAML

การประมวลผลนโยบาย

1. หากข้อความไม่ใช่ XML และไม่ได้ตั้งค่า IgnoreContentType เป็น true ระบบจะ แสดงข้อผิดพลาด
2. หากตั้งค่า "เทมเพลต" ให้ประมวลผลเทมเพลตตามที่อธิบายไว้สำหรับนโยบาย AssignMessage หากไม่มีตัวแปรใดๆ และไม่ได้ตั้งค่า IgnoreUnresolvedVariables ให้เพิ่มข้อผิดพลาด
3. หากไม่ได้ตั้งค่า "เทมเพลต" ให้สร้างการยืนยันที่มีค่าของพารามิเตอร์ Subject และ Issuer หรือการอ้างอิง
4. ลงนามในข้อความยืนยันโดยใช้คีย์ที่ระบุ
5. เพิ่มการยืนยันลงในข้อความที่ XPath ที่ระบุ

ตรวจสอบการยืนยัน SAML

การประมวลผลนโยบาย

1. นโยบายจะตรวจสอบข้อความขาเข้าเพื่อยืนยันว่าประเภทสื่อของคำขอเป็น XML โดย ตรวจสอบว่าประเภทเนื้อหาตรงกับรูปแบบ text/(.*+)?xml หรือ application/(.*+)?xml หากประเภทสื่อไม่ใช่ XML และไม่ได้ตั้งค่า <IgnoreContentType> นโยบายจะทำให้เกิดข้อผิดพลาด
2. นโยบายจะแยกวิเคราะห์ XML หากการแยกวิเคราะห์ไม่สำเร็จ ระบบจะแจ้งข้อผิดพลาด
3. นโยบายจะดึงองค์ประกอบที่ลงนามและการยืนยันโดยใช้ XPath ที่เกี่ยวข้อง ที่ระบุ (<SignedElementXPath> และ <AssertionXPath>) หากเส้นทางใดเส้นทางหนึ่งไม่แสดงผลองค์ประกอบ นโยบายจะทำให้เกิดข้อผิดพลาด
4. นโยบายจะยืนยันว่าข้อความยืนยันนั้นเหมือนกับองค์ประกอบที่ลงชื่อ หรือ เป็นองค์ประกอบย่อยขององค์ประกอบที่ลงชื่อ หากไม่เป็นเช่นนั้น นโยบายจะทำให้เกิดข้อผิดพลาด
5. หากมีองค์ประกอบ <NotBefore> หรือ <NotOnOrAfter> ในการยืนยัน นโยบายจะตรวจสอบการประทับเวลาปัจจุบันกับค่าเหล่านี้ตามที่อธิบายไว้ในส่วน 2.5.1 ของ SAML Core
6. นโยบายจะใช้กฎเพิ่มเติมสำหรับการประมวลผล "เงื่อนไข" ตามที่อธิบายไว้ ในส่วน 2.5.1.1 ของ SAML Core
7. นโยบายจะตรวจสอบลายเซ็นดิจิทัล XML โดยใช้ค่า Trust Store (<TrustStore>) ที่อธิบายไว้ข้างต้น หากการตรวจสอบไม่ผ่าน นโยบายจะ ทำให้เกิดข้อผิดพลาด

เมื่อนโยบายดำเนินการเสร็จสมบูรณ์โดยไม่มีข้อผิดพลาด นักพัฒนาพร็อกซีจะมั่นใจได้ในสิ่งต่อไปนี้

• ลายเซ็นดิจิทัลในการยืนยันถูกต้องและลงนามโดย CA ที่เชื่อถือได้
• การยืนยันใช้ได้กับช่วงเวลาปัจจุบัน
• ระบบจะดึงข้อมูลเรื่องและผู้ออกการยืนยัน แล้วตั้งค่าในตัวแปรโฟลว์ นโยบายอื่นๆ มีหน้าที่ใช้ค่าเหล่านี้เพื่อการตรวจสอบสิทธิ์เพิ่มเติม เช่น การตรวจสอบว่าชื่อเรื่องถูกต้อง หรือการส่งไปยังระบบเป้าหมายเพื่อการตรวจสอบ

คุณอาจใช้นโยบายอื่นๆ เช่น ExtractVariables เพื่อแยกวิเคราะห์ XML ดิบของการยืนยัน สำหรับการตรวจสอบที่ซับซ้อนยิ่งขึ้น

ตัวแปรโฟลว์

การยืนยัน SAML อาจระบุข้อมูลหลายอย่าง การยืนยัน SAML เป็น XML ที่สามารถแยกวิเคราะห์ได้โดยใช้นโยบาย ExtractVariables และกลไกอื่นๆ เพื่อใช้การตรวจสอบที่ซับซ้อนยิ่งขึ้น

ข้อมูลอ้างอิงข้อผิดพลาด

ส่วนนี้จะอธิบายรหัสข้อผิดพลาดและข้อความแสดงข้อผิดพลาดที่แสดง และตัวแปรข้อผิดพลาดที่กำหนดโดย Edge เมื่อนโยบายนี้ทริกเกอร์ข้อผิดพลาด ข้อมูลนี้มีความสำคัญต่อการทราบว่าคุณจะสร้างกฎความผิดพลาดเพื่อ จัดการกับข้อผิดพลาด หากต้องการเรียนรู้เพิ่มเติม โปรดดูที่สิ่งที่คุณจำเป็นต้องทราบ เกี่ยวกับข้อผิดพลาดของนโยบายและการจัดการ ข้อผิดพลาด

ข้อผิดพลาดในการทำให้ใช้งานได้

ข้อผิดพลาดเหล่านี้อาจเกิดขึ้นเมื่อคุณใช้พร็อกซีที่มีนโยบายนี้

ตัวแปรความผิดพลาด

ระบบจะตั้งค่าตัวแปรเหล่านี้เมื่อเกิดข้อผิดพลาดรันไทม์ โปรดดูข้อมูลเพิ่มเติมที่หัวข้อสิ่งที่คุณจำเป็นต้องทราบ เกี่ยวกับข้อผิดพลาดของนโยบาย

ตัวอย่างการตอบสนองข้อผิดพลาด

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

ตัวอย่างกฎข้อผิดพลาด

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

หัวข้อที่เกี่ยวข้อง

การแยกตัวแปร: นโยบายแยกตัวแปร