SAMLAssertion-Richtlinien

Sie sehen die Dokumentation zu Apigee Edge.
Zur Apigee X-Dokumentation weitere Informationen

Was

• Eingehende Authentifizierung und Autorisierung: Validieren Sie die SAML-Assertion-Richtlinie
  Wenn Sie den SAML-Richtlinientyp verwenden, können API-Proxys SAML-Assertions validieren, die an eingehende ESP-Anfragen angehängt sind. Die SAML-Richtlinie prüft eingehende Nachrichten, die eine digital signierte SAML-Assertion enthalten, lehnt sie ab, wenn sie ungültig sind, und legt Variablen fest, die zusätzliche Richtlinien zulassen, oder legt die Back-End-Dienste selbst fest, um die Informationen in der Assertion weiter zu validieren.
• Generierung ausgehender Tokens: SAML-Assertion-Richtlinie generieren
  Mit dem SAML-Richtlinientyp können API-Proxys SAML-Assertions an ausgehende XML-Anfragen anhängen. Diese Assertions stehen dann zur Verfügung, damit Backend-Dienste die zusätzliche Sicherheitsverarbeitung für die Authentifizierung und Autorisierung anwenden können.

Beispiele

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Elementverweis

SAML-Assertion generieren

SAML-Assertion validieren

Verwendungshinweise

Die Spezifikation für die Security Assertion Markup Language (SAML) definiert Formate und Protokolle, mit denen Anwendungen XML-formatierte Informationen für die Authentifizierung und Autorisierung austauschen können.

Eine "Sicherheitsassertion" ist ein vertrauenswürdiges Token, das ein Attribut einer App, eines App-Nutzers oder eines anderen Teilnehmers einer Transaktion beschreibt. Sicherheitsassertions werden von zwei Arten von Entitäten verwaltet und verbraucht:

• Identitätsanbieter: Sicherheitsbewertungen im Namen der Teilnehmer generieren
• Dienstanbieter: Assertions über vertrauenswürdige Beziehungen mit Identitätsanbietern validieren

Die API-Plattform kann als Identitätsanbieter und als Dienstanbieter fungieren. Als Identitätsanbieter generiert er Assertions, hängt sie an Anfragenachrichten an und stellt diese Assertions für die Verarbeitung durch Back-End-Dienste zur Verfügung. Sie dient als Dienstanbieter, indem Assertions für eingehende Anfragenachrichten überprüft werden.

Der SAML-Richtlinientyp unterstützt SAML-Assertions, die mit Version 2.0 der SAML Core-Spezifikation und Version 1.0 der Profilspezifikation für das WS-Security SAML-Token-Profil übereinstimmen.

SAML-Assertion generieren

Richtlinienverarbeitung:

1. Wenn die Nachricht nicht XML ist und IgnoreContentType nicht auf true gesetzt ist, wird ein Fehler ausgelöst.
2. Wenn "Vorlage" festgelegt ist, verarbeiten Sie die Vorlage wie in der Richtlinie "AssignMessage" beschrieben. Wenn Variablen fehlen und "IgnoreUnresolvedVariables" nicht festgelegt ist, wird ein Fehler ausgegeben.
3. Wenn "Vorlage" nicht festgelegt ist, erstellen Sie eine Assertion, die die Werte der Parameter "Subject" und "Issuer" oder "Verweis" enthält.
4. Signieren Sie die Assertion mit dem angegebenen Schlüssel.
5. Fügen Sie der Assertion den angegebenen XPath hinzu.

SAML-Assertion validieren

Richtlinienverarbeitung:

1. Die Richtlinie prüft in der eingehenden Nachricht, ob der Medientyp der Anfrage XML ist. Dazu wird geprüft, ob der Inhaltstyp den Formaten text/(.*+)?xml oder application/(.*+)?xml entspricht. Wenn der Medientyp nicht XML und <IgnoreContentType> nicht festgelegt ist, löst die Richtlinie einen Fehler aus.
2. Die Richtlinie parst den XML. Wenn das Parsen fehlschlägt, wird ein Fehler ausgelöst.
3. Die Richtlinie extrahiert das signierte Element und die Assertion mithilfe der entsprechenden angegebenen XPaths (<SignedElementXPath> und <AssertionXPath>). Wenn einer dieser Pfade kein Element zurückgibt, löst die Richtlinie einen Fehler aus.
4. Die Richtlinie überprüft, ob die Assertion dem signierten Element entspricht oder ein untergeordnetes Element des signierten Elements ist. Wenn dies nicht wahr ist, löst die Richtlinie einen Fehler aus.
5. Wenn in der Assertion entweder das Element <NotBefore> oder das Element <NotOnOrAfter> vorhanden ist, gleicht die Richtlinie den aktuellen Zeitstempel mit diesen Werten ab, wie in Abschnitt 2.5.1 zu SAML Core beschrieben.
6. Die Richtlinie wendet alle zusätzlichen Regeln für die Verarbeitung der „Bedingungen“ an, wie im Abschnitt 2.5.1.1 zu SAML Core beschrieben.
7. Die Richtlinie validiert die digitale XML-Signatur mit den Werten von <TrustStore> und <ValidateSigner> wie oben beschrieben. Wenn die Validierung fehlschlägt, löst die Richtlinie einen Fehler aus.

Wenn die Richtlinie abgeschlossen ist, ohne einen Fehler auszugeben, kann der Entwickler des Proxys Folgendes ermitteln:

• Die digitale Signatur in der Assertion ist gültig und wurde von einer vertrauenswürdigen Zertifizierungsstelle signiert.
• Die Assertion ist für den aktuellen Zeitraum gültig.
• Der Betreff und der Aussteller der Assertion werden extrahiert und in Ablaufvariablen festgelegt. Es liegt in der Verantwortung anderer Richtlinien, diese Werte für eine zusätzliche Authentifizierung zu verwenden, z. B. um zu überprüfen, ob der Antragstellername gültig ist, oder um ihn zur Validierung an ein Zielsystem zu übergeben.

Andere Richtlinien wie ExtractVariables können verwendet werden, um die Roh-XML der Assertion für eine komplexere Validierung zu parsen.

Ablaufvariablen

Es gibt viele Informationen, die in einer SAML-Assertion angegeben werden können. Die SAML-Assertion selbst ist XML, das mit der ExtractVariables-Richtlinie und anderen Mechanismen geparst werden kann, um komplexere Validierungen zu implementieren.

Fehlerreferenz

In diesem Abschnitt werden die Fehlercodes und Fehlermeldungen beschrieben, die zurückgegeben werden, sowie die Fehlervariablen, die von Edge festgelegt werden, wenn diese Richtlinie einen Fehler auslöst. Diese Informationen sind wichtig, wenn Sie Fehlerregeln zur Verarbeitung von Fehlern entwickeln. Weitere Informationen finden Sie unter Was Sie über Richtlinienfehler wissen müssen und Fehler beheben.

Bereitstellungsfehler

Diese Fehler können auftreten, wenn Sie einen Proxy bereitstellen, der diese Richtlinie enthält.

Fehlervariablen

Diese Variablen werden bei Laufzeitfehlern festgelegt. Weitere Informationen finden Sie unter Was Sie über Richtlinienfehler wissen müssen.

Beispiel für eine Fehlerantwort

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Beispiel für eine Fehlerregel

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

Weitere Informationen

Variablen extrahieren: Richtlinie zum Extrahieren von Variablen