SAMLAssertion politikaları

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Ne

• Gelen kimlik doğrulama ve yetkilendirme: SAML Onay politikasını doğrulayın
  SAML politika türü, API proxy'lerinin gelen SOAP isteklerine eklenen SAML onaylarını doğrulamasını sağlar. SAML politikası, dijital olarak imzalanmış bir SAML onayı içeren gelen mesajları doğrular, geçersizse reddeder ve onaylamadaki bilgileri daha da doğrulamak için ek politikalara veya arka uç hizmetlerinin kendisine izin veren değişkenleri ayarlar.
• Giden jeton oluşturma: SAML Onay politikası oluşturma
  SAML politika türü, API proxy'lerinin giden XML isteklerine SAML onayları eklemesine olanak tanır. Ardından bu onaylar, arka uç hizmetlerinin kimlik doğrulama ve yetkilendirmeye yönelik ek güvenlik işlemleri uygulaması için kullanılabilir.

Sana Özel

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Öğe referansı

SAML Onayı Oluştur

SAML Onayını Doğrulama

Kullanım notları

Güvenlik Onayı Biçimlendirme Dili (SAML) spesifikasyonu, uygulamaların kimlik doğrulama ve yetkilendirme için XML biçimindeki bilgileri alışverişinde bulunmasına olanak tanıyan biçimleri ve protokolleri tanımlar.

"Güvenlik onayı"; bir uygulamanın, uygulama kullanıcısının veya işlemdeki başka bir katılımcının özelliğini tanımlayan güvenilir bir jetondur. Güvenlik onayları, iki tür varlık tarafından yönetilir ve tüketilir:

• Kimlik sağlayıcılar: Katılımcılar adına güvenlik onayları oluşturma
• Servis sağlayıcılar: Kimlik sağlayıcılarla kurulan güvenilir ilişkiler aracılığıyla güvenlik onaylarını doğrulayın

API platformu bir kimlik sağlayıcı ve servis sağlayıcı işlevi görebilir. Bu API, onaylar oluşturup bunları mesaj isteğine ekleyerek bir kimlik sağlayıcı görevi görür. Böylece bu onaylar, arka uç hizmetleri tarafından işlenmeye hazır olur. Gelen istek mesajlarındaki onayları doğrulayarak servis sağlayıcı görevi görür.

SAML politika türü, SAML Temel Spesifikasyonu'nun 2.0 sürümüyle ve WS Güvenlik SAML Jetonu Profili spesifikasyonunun 1.0 sürümüyle eşleşen SAML onaylamalarını destekler.

SAML Onayı Oluştur

Politika işleme:

1. Mesaj XML değilse ve ignoreContentType özelliği true değerine ayarlanmamışsa hata bildiriminde bulunun.
2. "Template" ayarlandıysa şablonu, Ata-Message politikasında açıklandığı şekilde işleyin. Herhangi bir değişken eksikse ve GenderUnresolvedVariables ayarlanmadıysa bir hata bildiriminde bulunun.
3. "Template" ayarlanmamışsa Konu ve Düzenleyen parametrelerinin değerlerini veya referanslarını içeren bir onay oluşturun.
4. Belirtilen anahtarı kullanarak onayı imzalayın.
5. Onayı, belirtilen XPath'deki mesaja ekleyin.

SAML Onayını Doğrulama

Politika işleme:

1. Politika, içerik türünün text/(.*+)?xml veya application/(.*+)?xml biçimleriyle eşleşip eşleşmediğini kontrol ederek isteğin medya türünün XML olduğunu doğrulamak için gelen mesajı kontrol eder. Medya türü XML değilse ve <IgnoreContentType> ayarlanmamışsa politika hata verir.
2. Politika, XML'i ayrıştırır. Ayrıştırma başarısız olursa hata oluşur.
3. Politika, belirtilen ilgili XPath'leri (<SignedElementXPath> ve <AssertionXPath>) kullanarak imzalı öğeyi ve onayı çıkarır. Bu yollardan herhangi biri bir öğe döndürmezse politika hata verir.
4. Politika, Onaylama'nın imzalanmış öğeyle aynı veya imzalanmış öğenin alt öğesi olduğunu doğrular. Bu doğru değilse politika hata verir.
5. Onaylamada <NotBefore> veya <NotOnOrAfter> öğelerinden biri varsa politika, SAML Core bölümü 2.5.1'de açıklandığı gibi mevcut zaman damgasını bu değerlerle karşılaştırarak kontrol eder.
6. Politika, SAML Core bölümü 2.5.1.1'de açıklandığı gibi, "Koşullar"ın işlenmesiyle ilgili tüm ek kuralları uygular.
7. Politika, yukarıda açıklandığı gibi <TrustStore> ve <ValidateSigner> değerlerini kullanarak XML dijital imzasını doğrular. Doğrulama başarısız olursa politika hata verir.

Politika hata bildirmeden tamamlandıktan sonra proxy'nin geliştiricisi aşağıdakilerden emin olabilir:

• Onaydaki dijital imza geçerli ve güvenilir bir CA tarafından imzalanmış
• Onay, geçerli dönem için geçerlidir
• Onayın konusu ve vereni ayıklanır ve akış değişkenlerinde ayarlanır. Bu değerlerin ek kimlik doğrulama işlemlerinde (ör. konu adının geçerli olup olmadığının kontrol edilmesi veya doğrulama amacıyla bir hedef sisteme iletilmesi) için kullanılması diğer politikaların sorumluluğundadır.

Daha karmaşık doğrulama için onaylamanın ham XML'sini ayrıştırmak amacıyla ExtractVariables gibi diğer politikalar kullanılabilir.

Akış değişkenleri

SAML onayında belirtilebilecek birçok bilgi vardır. SAML onayının kendisi, daha karmaşık doğrulamaları uygulamak için ExtractVariables politikası ve diğer mekanizmalar kullanılarak ayrıştırılabilen bir XML'dir.

Hata referansı

Bu bölümde, bu politika bir hatayı tetiklediğinde Edge tarafından ayarlanan hata kodları ile hata mesajları ve döndürülen hata mesajları ile Edge tarafından ayarlanan hata değişkenleri açıklanmaktadır. Bu bilgiyi, hataları ele almak için hata kuralları geliştirip geliştirmediğinizi bilmeniz önemlidir. Daha fazla bilgi için Politika hataları hakkında bilmeniz gerekenler ve Hataları işleme bölümlerine bakın.

Dağıtım hataları

Bu hatalar, bu politikayı içeren bir proxy dağıttığınızda ortaya çıkabilir.

Hata değişkenleri

Bu değişkenler, bir çalışma zamanı hatası oluştuğunda ayarlanır. Daha fazla bilgi için Politika hataları hakkında bilmeniz gerekenler bölümüne bakın.

Örnek hata yanıtı

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Hata kuralı örneği

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

İlgili konular

Değişkenleri çıkarma: Değişkenleri Ayıklama politikası