سیاست های اظهارنظر SAMLA

شما در حال مشاهده اسناد Apigee Edge هستید.
به مستندات Apigee X بروید . اطلاعات

چی

• احراز هویت ورودی و مجوز: اعتبارسنجی سیاست SAML Assertion
  نوع خط مشی SAML، پراکسی های API را قادر می سازد تا ادعاهای SAML را که به درخواست های SOAP ورودی پیوست شده اند، تأیید کنند. خط‌مشی SAML پیام‌های دریافتی حاوی یک ادعای SAML با امضای دیجیتال را تأیید می‌کند، در صورت نامعتبر بودن آنها را رد می‌کند، و متغیرهایی را تنظیم می‌کند که به سیاست‌های اضافی یا خود سرویس‌های پشتیبان اجازه می‌دهد تا اطلاعات موجود در ادعا را بیشتر تأیید کنند.
• تولید توکن خروجی: خط مشی اظهارنظر SAML را ایجاد کنید
  نوع خط مشی SAML به پراکسی های API امکان می دهد اظهارات SAML را به درخواست های XML خروجی متصل کنند. سپس این ادعاها برای فعال کردن خدمات پشتیبان برای اعمال پردازش امنیتی بیشتر برای احراز هویت و مجوز در دسترس هستند.

نمونه ها

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

مرجع عنصر

ادعای SAML ایجاد کنید

تأیید صحت ادعای SAML

نکات استفاده

مشخصات زبان نشانه‌گذاری ادعای امنیتی (SAML) فرمت‌ها و پروتکل‌هایی را تعریف می‌کند که برنامه‌ها را قادر می‌سازد تا اطلاعات با فرمت XML را برای احراز هویت و مجوز مبادله کنند.

"ادعای امنیتی" یک نشانه قابل اعتماد است که ویژگی یک برنامه، یک کاربر برنامه یا برخی از شرکت کنندگان دیگر در یک تراکنش را توصیف می کند. ادعاهای امنیتی توسط دو نوع نهاد مدیریت و مصرف می شوند:

• ارائه دهندگان هویت: ادعاهای امنیتی را از طرف شرکت کنندگان ایجاد کنید
• ارائه دهندگان خدمات: اظهارات امنیتی را از طریق روابط قابل اعتماد با ارائه دهندگان هویت تأیید کنید

پلت فرم API می تواند به عنوان یک ارائه دهنده هویت و به عنوان یک ارائه دهنده خدمات عمل کند. با ایجاد ادعاها و پیوست کردن آنها به پیام‌های درخواستی، به‌عنوان یک ارائه‌دهنده هویت عمل می‌کند و این ادعاها را برای پردازش توسط خدمات باطن در دسترس قرار می‌دهد. به عنوان یک ارائه دهنده خدمات با اعتبار سنجی اظهارات در پیام های درخواست ورودی عمل می کند.

نوع خط مشی SAML از اظهارات SAML پشتیبانی می کند که با نسخه 2.0 مشخصات هسته SAML و نسخه 1.0 مشخصات نمایه توکن SAML WS-Security مطابقت دارد.

ادعای SAML ایجاد کنید

پردازش خط مشی:

1. اگر پیام XML نیست و IgnoreContentType روی true تنظیم نشده است، یک خطا را مطرح کنید.
2. اگر "الگو" تنظیم شده است، الگو را همانطور که برای خط مشی AssignMessage توضیح داده شده پردازش کنید. اگر متغیری وجود ندارد و IgnoreUnresolvedVariables تنظیم نشده است، یک خطا را مطرح کنید.
3. اگر "الگو" تنظیم نشده باشد، یک ادعا بسازید که شامل مقادیر پارامترهای موضوع و صادرکننده یا مراجع آنها باشد.
4. ادعا را با استفاده از کلید مشخص شده امضا کنید.
5. ادعا را به پیام در XPath مشخص شده اضافه کنید.

تأیید صحت ادعای SAML

پردازش خط مشی:

1. خط‌مشی پیام ورودی را بررسی می‌کند تا تأیید کند که نوع رسانه درخواست XML است، با بررسی اینکه آیا نوع محتوا با قالب‌های text/(.*+)?xml یا application/(.*+)?xml مطابقت دارد یا خیر. اگر نوع رسانه XML نباشد و <IgnoreContentType> تنظیم نشده باشد، این خط مشی یک خطا ایجاد می کند.
2. این خط مشی XML را تجزیه می کند. اگر تجزیه ناموفق باشد، یک خطا ایجاد می کند.
3. این خط‌مشی با استفاده از XPath‌های مشخص شده مربوطه ( <SignedElementXPath> و <AssertionXPath> ) عنصر امضا شده و ادعا را استخراج می‌کند. اگر یکی از این مسیرها عنصری را برنگرداند، خط مشی یک خطا ایجاد می کند.
4. این خط‌مشی تأیید می‌کند که ادعا همان عنصر امضا شده است یا فرزند عنصر امضا شده است. اگر این درست نباشد، این خط‌مشی یک خطا ایجاد می‌کند.
5. اگر یکی از عناصر <NotBefore> یا <NotOnOrAfter> در ادعا وجود داشته باشد، خط مشی مهر زمانی فعلی را در برابر این مقادیر بررسی می کند، همانطور که در بخش SAML Core 2.5.1 توضیح داده شده است.
6. این خط‌مشی قوانین اضافی را برای پردازش "شرایط" همانطور که در بخش SAML Core 2.5.1.1 توضیح داده شده اعمال می‌کند.
7. این خط‌مشی با استفاده از مقادیر <TrustStore> و <ValidateSigner> همانطور که در بالا توضیح داده شد، امضای دیجیتال XML را تأیید می‌کند. اگر اعتبارسنجی ناموفق باشد، خط مشی یک خطا ایجاد می کند.

هنگامی که خط‌مشی بدون ایجاد خطا تکمیل شد، توسعه‌دهنده پروکسی می‌تواند از موارد زیر مطمئن باشد:

• امضای دیجیتال در ادعا معتبر است و توسط یک CA قابل اعتماد امضا شده است
• این ادعا برای دوره زمانی جاری معتبر است
• موضوع و صادرکننده ادعا استخراج و در متغیرهای جریان تنظیم می شود. استفاده از این مقادیر برای احراز هویت اضافی، مانند بررسی معتبر بودن نام موضوع، یا ارسال آن به یک سیستم هدف برای تأیید اعتبار، مسئولیت سایر خط‌مشی‌ها است.

سایر سیاست‌ها، مانند ExtractVariables، ممکن است برای تجزیه XML خام ادعا برای اعتبارسنجی پیچیده‌تر استفاده شوند.

متغیرهای جریان

اطلاعات زیادی وجود دارد که ممکن است در یک ادعای SAML مشخص شود. ادعای SAML خود XML است که می تواند با استفاده از خط مشی ExtractVariables و مکانیسم های دیگر به منظور پیاده سازی اعتبارسنجی های پیچیده تر تجزیه شود.

مرجع خطا

این بخش کدهای خطا و پیام‌های خطایی را که برگردانده می‌شوند و متغیرهای خطا را که توسط Edge تنظیم می‌شوند، هنگامی که این خط‌مشی خطا را راه‌اندازی می‌کند، توضیح می‌دهد. این اطلاعات برای دانستن اینکه آیا در حال توسعه قوانین خطا برای رسیدگی به خطاها هستید، مهم است. برای کسب اطلاعات بیشتر، آنچه را که باید در مورد خطاهای خط مشی و مدیریت خطاها بدانید را ببینید.

خطاهای استقرار

این خطاها ممکن است زمانی رخ دهند که یک پروکسی حاوی این خط مشی را مستقر می کنید.

متغیرهای خطا

این متغیرها زمانی تنظیم می شوند که یک خطای زمان اجرا رخ دهد. برای اطلاعات بیشتر، به آنچه باید در مورد خطاهای خط مشی بدانید مراجعه کنید.

نمونه پاسخ خطا

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

مثال قانون خطا

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

موضوعات مرتبط

استخراج متغیرها: استخراج خط مشی متغیرها