SAMLAssertion 政策

您正在查看的是 Apigee Edge 文档。
转到 Apigee X 文档。 信息

内容

• 入站身份验证和授权：验证 SAML 断言政策
  SAML 政策类型可让 API 代理验证附加到入站 SOAP 请求的 SAML 断言。SAML 政策会验证包含经过数字签名的 SAML 断言的传入消息、拒绝这些消息（如果无效）并设置允许额外政策或后端服务本身的变量，从而进一步验证断言中的信息。
• 出站令牌生成：生成 SAML 断言政策
  通过 SAML 政策类型，API 代理可以将 SAML 断言附加到出站 XML 请求。这些断言随后可用于让后端服务应用进一步的安全处理，以进行身份验证和授权。

示例

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

元素参考

生成 SAML 断言

验证 SAML 断言

使用说明

安全断言标记语言 (SAML) 规范定义了格式和协议，这些内容能让应用交换 XML 格式的信息以进行身份验证和授权。

“安全断言”是可信令牌，用于描述应用的特性、应用用户或事务中的一些其他参与者。安全性声明由两种类型的实体管理和使用：

• 身份提供商：代表参与者生成安全断言
• 服务提供商：通过与身份提供商建立值得信赖的关系来验证安全断言

API 平台可以充当身份提供商以及服务提供商。充当身份提供商时，它会生成断言并将其附加到请求消息，使这些断言可供后端服务进行处理。充当服务提供商时，它会验证入站请求消息的断言。

SAML 政策类型支持与 SAML Core 规范版本 2.0 和 WS-Security SAML Token Profile 规范版本 1.0 相匹配的 SAML 断言。

生成 SAML 断言

政策处理：

1. 如果消息不是 XML，且 IgnoreContentType 未设置为 true，则会引发错误。
2. 如果设置了“模板”，请按照 AssignMessage 政策中所述处理模板。如果缺少任何变量，且未设置 IgnoreUnresolvedVariables，则会引发故障。
3. 如果未设置“模板”，则需要构建一个断言，其中应包含“主题”和“颁发者”参数的值或其引用。
4. 使用指定密钥签署断言。
5. 将断言添加到指定 XPath 中的消息。

验证 SAML 断言

政策处理：

1. 政策会检查入站消息，检查内容类型是否与 text/(.*+)?xml 或 application/(.*+)?xml 格式匹配，以验证请求的媒体类型为 XML。如果媒体类型不是 XML 且未设置 <IgnoreContentType>，则此政策将引发错误。
2. 该政策将解析 XML。如果解析失败，则会引发故障。
3. 此政策将使用各自的指定 XPath（<SignedElementXPath> 和 <AssertionXPath>）提取带签名的元素和断言。 如果其中任一路径未返回元素，此政策便会引发错误。
4. 该政策将验证断言是否与签名元素是同一个，或者是签名元素的子元素。如果情况不属实，该政策将引发故障。
5. 如果断言中存在 <NotBefore> 或 <NotOnOrAfter> 元素，政策将根据这些值检查当前时间戳，如 SAML Core 第 2.5.1 节中所述。
6. 此政策将应用所有额外的规则来处理“条件”，如“SAML Core”部分 2.5.1.1 中所述。
7. 此政策将使用上述 <TrustStore> 和 <ValidateSigner> 的值验证 XML 数字签名。 如果验证失败，此政策将引发错误。

一旦政策已完成且不会引发故障，代理的开发者就可以确信以下几点：

• 断言中的数字签名有效，已由受信 CA 签署
• 断言在当前时间段有效
• 系统将提取断言的主题和颁发者，并在流变量中设置。由其他政策负责使用这些值进行额外身份验证，例如检查主题名称是否有效，或传递给目标系统进行验证。

其他政策（如 ExtractVariables）可能会用于解析断言的原始 XML 以进行更复杂的验证。

流变量

可以在 SAML 断言中指定许多信息。SAML 断言本身是 XML，则可以使用 ExtractVariables 政策和其他机制来进行解析，从而实现更复杂的验证。

错误参考信息

本部分介绍了在此政策触发错误时返回的错误代码和错误消息，以及 Edge 设置的故障变量。 在开发故障规则以处理故障时，请务必了解此信息。如需了解详情，请参阅您需要了解的有关政策错误的信息和处理故障。

部署错误

在您部署包含此政策的代理时，可能会发生这些错误。

故障变量

发生运行时错误时，系统会设置这些变量。如需了解详情，请参阅您需要了解的有关政策错误的信息。

错误响应示例

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

故障规则示例

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

相关主题

提取变量：提取变量政策