Chính sách về Xác nhận SAML

Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến Tài liệu về Apigee X. thông tin

Nội dung

• Xác thực và uỷ quyền thư đến: Xác thực Xác nhận SAML chính sách
  Loại chính sách SAML cho phép các proxy API xác thực nội dung xác nhận SAML được đính kèm các yêu cầu SOAP gửi đến. Chính sách SAML xác thực thư đến có chứa Xác nhận SAML có chữ ký số, từ chối nếu xác nhận không hợp lệ và đặt các biến cho phép các chính sách bổ sung hoặc chính các dịch vụ phụ trợ để xác thực thông tin trong câu nhận định.
• Tạo mã thông báo đi: Tạo chính sách Xác nhận SAML
  Loại chính sách SAML cho phép các proxy API đính kèm câu nhận định SAML vào yêu cầu XML gửi đi. Sau đó, bạn có thể sử dụng những câu nhận định đó để cho phép các dịch vụ phụ trợ tăng cường bảo mật xử lý để xác thực và uỷ quyền.

Mẫu

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Tham chiếu phần tử

Tạo nội dung xác nhận SAML

Xác thực xác nhận SAML

Lưu ý về cách sử dụng

Thông số kỹ thuật của Ngôn ngữ đánh dấu xác nhận bảo mật (SAML) xác định các định dạng và giao thức cho phép các ứng dụng trao đổi thông tin ở định dạng XML để xác thực và uỷ quyền.

"Xác nhận bảo mật" là mã thông báo đáng tin cậy mô tả một thuộc tính của ứng dụng, người dùng ứng dụng hoặc một số người tham gia khác trong giao dịch. Xác nhận bảo mật do 2 bên quản lý và sử dụng loại thực thể:

• Nhà cung cấp danh tính: Tạo xác nhận bảo mật thay mặt cho người tham gia
• Nhà cung cấp dịch vụ: Xác thực các khẳng định bảo mật thông qua mối quan hệ đáng tin cậy với danh tính các nhà cung cấp

Nền tảng API có thể đóng vai trò là nhà cung cấp danh tính và nhà cung cấp dịch vụ. Thẻ này đóng vai trò như một nhà cung cấp danh tính bằng cách tạo các câu nhận định và đính kèm chúng để yêu cầu thông báo, khiến những câu nhận định đó câu nhận định có sẵn để xử lý bằng các dịch vụ phụ trợ. Hoạt động với vai trò là một nhà cung cấp dịch vụ bằng cách xác thực câu nhận định trong thông báo yêu cầu đến.

Loại chính sách SAML hỗ trợ xác nhận SAML phù hợp với phiên bản 2.0 của Lõi SAML Thông số kỹ thuật và Phiên bản 1.0 của thông số kỹ thuật Cấu hình mã thông báo SAML của WS-Security.

Tạo nội dung xác nhận SAML

Xử lý chính sách:

1. Nếu thông báo không phải là XML và IgnoreContentType không được đặt thành true, thì nêu lỗi.
2. Nếu "Mẫu" được đặt, sau đó xử lý mẫu theo mô tả cho chính sách AttributionMessage. Nếu thiếu bất kỳ biến nào và chưa đặt IgnoreUnresolvedVariables, hãy báo lỗi.
3. Nếu "Mẫu" chưa được đặt, thì hãy tạo câu nhận định bao gồm các giá trị của Tham số của Chủ thể và Tổ chức phát hành hoặc thông số tham chiếu của chúng.
4. Ký xác nhận bằng khoá đã chỉ định.
5. Thêm khẳng định vào thông báo tại NETWORK được chỉ định.

Xác thực xác nhận SAML

Xử lý chính sách:

1. Chính sách này kiểm tra thư đến để xác minh rằng loại nội dung đa phương tiện của yêu cầu là XML, bằng cách kiểm tra xem loại nội dung có khớp với định dạng text/(.*+)?xml hoặc application/(.*+)?xml Nếu loại phương tiện không phải là XML và Nếu bạn không đặt <IgnoreContentType>, chính sách sẽ báo lỗi.
2. Chính sách này sẽ phân tích cú pháp tệp XML. Nếu phân tích cú pháp không thành công thì lỗi sẽ xảy ra.
3. Chính sách này sẽ trích xuất phần tử đã ký và nội dung xác nhận quyền sở hữu theo Wi-Fi tương ứng được chỉ định (<SignedElementXPath> và <AssertionXPath>). Nếu một trong hai đường dẫn này không trả về phần tử, thì chính sách sẽ gây ra lỗi.
4. Chính sách này sẽ xác minh rằng Xác nhận giống với phần tử đã ký, hoặc là phần tử con của phần tử đã ký. Nếu điều này không đúng thì chính sách sẽ báo cáo lỗi.
5. Nếu một trong hai thuộc tính <NotBefore> hoặc <NotOnOrAfter> có xuất hiện trong câu nhận định, thì chính sách này sẽ kiểm tra dấu thời gian hiện tại so với các giá trị này, như mô tả trong phần 2.5.1 Core SAML.
6. Chính sách này sẽ áp dụng mọi quy tắc bổ sung để xử lý "Điều kiện" như được mô tả trong phần SAML Core 2.5.1.1.
7. Chính sách này sẽ xác thực chữ ký số XML bằng các giá trị của <TrustStore> và <ValidateSigner> như mô tả ở trên. Nếu quá trình xác thực không thành công, thì chính sách sẽ báo lỗi.

Khi chính sách hoàn tất mà không gây ra lỗi, nhà phát triển proxy có thể chắc chắn trong số sau:

• Chữ ký số trong nội dung nhận định là hợp lệ và do một CA đáng tin cậy ký
• Xác nhận có hiệu lực trong khoảng thời gian hiện tại
• Chủ thể và người đưa ra câu nhận định sẽ được trích xuất và thiết lập trong các biến luồng. Đó là trách nhiệm của các chính sách khác về việc sử dụng các giá trị này để xác thực bổ sung, chẳng hạn như kiểm tra xem tên chủ đề có hợp lệ không hoặc chuyển tên đó đến một hệ thống mục tiêu để xác thực.

Các chính sách khác (chẳng hạn như ExtractVariables) có thể dùng để phân tích cú pháp XML thô của câu nhận định để xác thực phức tạp hơn.

Biến luồng

Có nhiều thông tin có thể được chỉ định trong nội dung xác nhận SAML. SAML Bản thân xác nhận là XML có thể được phân tích cú pháp bằng chính sách ExtractVariables và để triển khai các quy trình xác thực phức tạp hơn.

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về và các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này rất quan trọng nếu bạn đang phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi triển khai

Những lỗi này có thể xảy ra khi bạn triển khai proxy có chứa chính sách này.

Biến lỗi

Các biến này được đặt khi xảy ra lỗi thời gian chạy. Để biết thêm thông tin, hãy xem bài viết Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi khi gặp lỗi

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Ví dụ về quy tắc lỗi

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

Chủ đề có liên quan

Trích xuất biến: Trích xuất biến chính sách của Google