Каков наилучший способ заставить поставщика удостоверений SAML (idp) освободить идентификатор пользователя без текущего домена?

Мне нужно, чтобы мои атрибуты SAML IDP не зависели от доменного имени или авторизовались независимо от доменного имени.

Мой ответ SAML IDP:

<saml:AttributeValue xsi:type="xs:string">[email protected]</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:2.5.4.42">
    <saml:AttributeValue xsi:type="xs:string">[email protected]</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
    <saml:AttributeValue xsi:type="xs:string">[email protected]</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:0.9.2342.19200300.100.1.3">
    <saml:AttributeValue xsi:type="xs:string">[email protected]</saml:AttributeValue>

есть ли способ исправить это:

<saml:AttributeValue xsi:type="xs:string">Today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:2.5.4.42">
    <saml:AttributeValue xsi:type="xs:string">Today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
    <saml:AttributeValue xsi:type="xs:string">today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:0.9.2342.19200300.100.1.3">
    <saml:AttributeValue xsi:type="xs:string">[email protected]</saml:AttributeValue>

Должен ли SSO работать несмотря на то, что домен от IDP? Shibboleth авторизуется на основе предоставленной информации, но приложение не принимает заголовок идентификатора пользователя. Это связано с тем, что идентификатор пользователя связан с провайдером IDP?

Является ли первый вывод из ответа нормой?


identity federated-identity active-directory saml shibboleth
person amanda fouts    schedule 08.05.2014    source источник
comment
Похоже, вы используете Shibboleth для своего IdP. Если да, покажите нам соответствующую часть вашего resolver-resolver.xml файла.   -  person rlandster    schedule 26.03.2018

Ответы (1)


arrow_upward
0
arrow_downward

Какие значения возвращаются в утверждениях атрибутов, зависит от конфигурации IdP.

Имя атрибута «urn: oid: 2.5.4.42» имеет FriendlyName «givenname» ... поэтому возвращение части домена кажется сомнительным.

Имя атрибута 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6' имеет синтаксис 'Domain-Qualified String', поэтому можно было ожидать увидеть значения, специфичные для домена.

Имя атрибута «urn: oid: 0.9.2342.19200300.100.1.3» имеет FrienldyName «email» ... так что на самом деле адрес электронной почты без части домена является незаконным.

К сожалению, я не эксперт Shibboleth, вы не сказали, не работает ли «SSO» или «связывание учетных записей» / федерация. Я бы не ожидал, что «SSO» не удастся из-за значений атрибутов, но «привязка учетной записи» может.

person Bernhard Thalmayr    schedule 09.05.2014