#### Sicherheitstoken-Dienst

Mit den in diesem Dienst enthaltenen Attributen wird die dynamische Konfiguration für den Sicherheitstoken-Dienst (Security Token Service, STS) von OpenSSO definiert. Mit diesen Attributen wird die folgende Konfiguration definiert:

- Ausgeben und Erstellen von Sicherheitstoken

- Webdienstsicherheit für den STS selbst zur Sicherung der Endpunkte des STS-Diensts. Die Signierungs- und Verschlüsselungsattribute konfigurieren die Serveranbieter-Überprüfung eingehender WS-Trust-Anforderungen und sichern die ausgehenden WS-Trust-Antworten. Das Attribut für den Sicherheitsmechanismus definiert den Sicherheitsnachweis der Sicherheitstokens.

- SAML-Konfiguration zum Anfordern der SAML-Attributzuordnung im Sicherheitstoken (über eine SAML-Anweisung), wenn der konfigurierte STS als Webdienstanbieter angegeben ist und ein von einem Remote-STS generiertes SAML-Token (Anweisung) erhält.

- Sicherheitstoken-Überprüfung, die bei Generierung des Tokens durch einen Remote-STS von einem Webdienstanbieter empfangen wurde.

  Sie können Profile für die dynamische Konfiguration für verschiedene OpenSSO-Webdienstsicherheit-Anbieter in der Centralized Agent configuration auf der Registerkarte für Bereiche erstellen.

##### Aussteller

Der Name des Sicherheitstoken-Diensts, der die Sicherheitstoken ausstellt.

##### Endpunkt des

In diesem Feld ist ein Wert im folgenden Format zulässig:

`%protocol://%host:%port%uri/sts`

Diese Syntax ermöglicht das dynamische Ersetzen der URL für den Sicherheitstoken-Dienst-Endpunkt, basierend auf den sitzungsspezifischen Parametern.

##### Ausgestellten Schlüssel verschlüsseln

Wenn dieses Attribut aktiviert ist, wird der vom Sicherheitstoken-Dienst ausgestellte Schlüssel verschlüsselt.

##### Ausgestelltes Token verschlüsseln

Wenn dieses Attribut aktiviert ist, wird das vom Sicherheitstoken-Dienst ausgestellte Sicherheitstoken verschlüsselt.

##### Lebensdauer für Sicherheitstoken

Definiert die Zeit, für die das ausgestellte Token gültig ist.

##### Token-Implementierungsklasse

Dieses Attribut gibt die Implementierungsklasse für den Sicherheitstokenanbieter/-aussteller an.

##### Name des Zertifikatsalias

Definiert den Aliasnamen für das Zertifikat, das der Sicherheitstoken-Dienst zur Signierung der vom Sicherheitstoken-Dienst ausgestellten Sicherheitstoken verwendet.

##### Plugin für STS-Endbenutzer-TokenKlasse

Definiert die Implementierungsklasse für die Konvertierung des Endbenutzer-Tokens.

##### Sicherheitsmechanismus

Definiert den Typ des Sicherheitsnachweises, der zur Sicherung des Tokens selbst verwendet wird, oder des Sicherheitsnachweises, den der Sicherheitstoken-Dienst von der vom Client gesendeten WS-Trust-Anforderung übernommen hat. Folgende Sicherheitstypen stehen zur Auswahl:

- Anonymous (Anonym) – Der anonyme Sicherheitsmechanismus enthält keine Sicherheitsnachweise.

- KerberosToken – Es werden Kerberos-Token verwendet.

- LibertyDiscoverySecurity – Verwendet Liberty-basierte Sicherheitstoken.

- SAML-HolderOfKey – Verwendet den SAML 1.1-Behauptungstyp "Holder-Of-Key".

- SAML-SenderVouches – Verwendet den SAML 1.1-Behauptungstyp "Sender Vouches".

- SAML2–HolderOfKey – Verwendet den SAML 2.0-Behauptungstoken-Typ "Holder-Of-Key".

- SAML2–SenderVouches – Verwendet den SAML 2.0-Behauptungstoken-Typ " Sender Vouches".

- STSSecurity – Definiert, dass der Sicherheitstoken-Dienstagent das Sicherheitstoken vom Sicherheitstoken-Dienst abruft.

- UserNameToken – Verwendet ein Benutzernamens-Token zur Sicherung der Anforderungen an den Sicherheitstoken-Dienst.

- UserNameToken-Plain – Verwendet ein Benutzernamens-Token mit einem Klartextpasswort zur Sicherung der Anforderungen an den Sicherheitstoken-Dienst.

- X509Token –Verwendet das X509-Zertifikat zur Sicherung des Sicherheitstokens.

##### Authentifizierungskette

Definiert den Namen der Authentifizierungskette bzw. des Authentifizierungsdiensts, der zur Authentifizierung beim OpenSSO-Authentifizierungsdienst mithilfe des Berechtigungsnachweises aus dem Sicherheitstoken einer eingehenden Ausstelleranforderung verwendet werden kann, um das authentifizierte Sicherheitstoken von OpenSSO zu erstellen.

##### Benutzer-Berechtigungsnachweis

Das Attribut steht für die Shared Secrets des Benutzernamens/Passworts, die vom Sicherheitstoken-Dienst zur Überprüfung eines vom Client als Teil einer eingehenden WS-Trust-Anforderung gesendeten Benutzernamen-Tokens verwendet werden.

##### Ist die Anforderungssignatur verifiziert

Gibt an, dass der Sicherheitstoken-Dienst die Signatur der eingehenden WS-Trust-Anforderung überprüfen muss.

##### Ist Anforderungskopfzeile entschlüsselt

Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Anforderungskopfzeilen entschlüsselt sein müssen.

##### Ist Anforderung entschlüsselt

Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Anforderungen entschlüsselt sein müssen.

##### Ist Antwort signiert

Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Antworten signiert sein müssen.

##### Ist Antwort verschlüsselt

Gibt an, dass alle vom Sicherheitstoken-Dienst gesendeten Antworten verschlüsselt sein müssen.

##### Referenztyp für Signatur

Definiert die Referenztypen, die verwendet werden, wenn der Sicherheitstoken-Dienst die WS-Trust-Antwort signiert. Die möglichen Referenztypen sind `DircectReference` , `KeyIdentifier` und `X509`.

##### Verschlüsselungsalgorithmus

Definiert den Verschlüsselungsalgorithmus, den der Sicherheitstoken-Dienst zur Verschlüsselung der WS-Trust-Antwort verwendet.

##### Verschlüsselungsstärke

Definiert die Stärke der Verschlüsselung, die der Sicherheitstoken-Dienst zur Verschlüsselung der WS-Trust-Antwort verwendet. Wählen Sie einen größeren Wert für eine höhere Verschlüsselungsstärke aus.

##### Alias des privaten Schlüssels

Dieses Attribut definiert den Alias des privaten Zertifikatschlüssels, der verwendet wird, um die WS-Trust-Antwort zu signieren oder die eingehende WS-Trust-Anforderung zu entschlüsseln.

##### Typ des privaten Schlüssels

Dieses Attribut definiert den Typ des privaten Zertifikatschlüssels, der zur Signierung der WS-Trust-Antworten oder Entschlüsselung der WS-Trust-Anforderungen verwendet wird. Die möglichen Typen sind `PublicKey`, `SymmetricKey` und `NoProofKey`.

##### Alias von öffentlichem Schlüssel des Webdienst-(WS-Trust-)Client

Definiert den Alias des öffentlichen Zertifikatschlüssels, mit dem die Signatur der eingehenden WS-Trust-Anforderung überprüft oder die WS-Trust-Antwort verschlüsselt wird.

##### Kerberos-Domain-Server

Gibt den Hostnamen des Kerberos-Verteilungscenters (Domänencontroller) an. Hier ist der vollständig qualifizierte Domänenname (FQDN) des Domänencontrollers erforderlich.

##### Kerberos-Domain

Gibt den Domänennamen des Kerberos-Verteilungscenters (Domänencontroller) an. Je nach Konfiguration ist der Domänenname des Domänencontrollers nicht identisch mit dem Domänennamen von OpenSSO.

##### Kerberos-Dienstprincipal

Legt den Kerberos-Principal als Eigentümer des generierten Sicherheitstokens fest.

Verwenden Sie die folgende Syntax:

`HTTP/hostname.domainname@dc_domain_name`

`hostname` und `domainame` stehen für den Hostnamen und den Domänennamen der OpenSSO-Instanz. `dc_domain_name` is the Kerberos domain in which the Windows Kerberos server (domain controller) resides. Der Kerberos-Server unterscheidet sich möglicherweise vom Domänennamen der OpenSSO-Instanz.

##### Kerberos-Schlüssel-Tabdatei

Gibt die zur Ausgabe des Tokens verwendete Kerberos-Keytab-Datei an. Folgendes Format wird empfohlen, auch wenn es nicht vorgeschrieben ist:

`hostname.HTTP.keytab`

`hostname` ist der Hostname der OpenSSO-Instanz.

##### Kerberos-Signatur verifizieren

Wenn es aktiviert ist, wird mit diesem Attribut angegeben, dass das Kerberos-Token signiert ist.

##### SAML-Attributzuordnung

Hinweis – Alle folgenden SAML-bezogenen Attribute müssen für die Konfiguration verwendet werden, wenn die aktuelle Instanz des Sicherheitstoken-Diensts als Webdienstanbieter fungiert und ein von einer anderen Instanz des Sicherheitstoken-Dients generiertes SAML-Token erhält.

Diese Konfiguration stellt ein SAML-Attribut dar, das während der Erstellung einer SAML-Anweisung durch den Sicherheitstoken-Dienst für einen Webdienstanbieter als Attributanweisung generiert werden muss. Das Format lautet: ``SAML_Attributname``=`` Tatsächlicher_Attributname``.

``SAML_Attributname`` ist der SAML-Attributname aus einer SAML-Behauptung, die aus einer eingehenden Webdienstanforderung stammt. ``Tatsächlicher_Attributname`` ist der Attributname der entweder aus dem authentifizierten SSOToken oder aus dem Identitäts-Repository abgerufen wird.

##### NameID-Zuordnung

Der Mapper für SAML-NameID für eine vom Sicherheitstoken-Dienst generierte Anweisung.

##### Sollte Mitgliedschaften enthalten

Wenn diese Option aktiviert ist, enthält die generierte Anweisung Benutzermitgliedschaften als SAML-Attribute.

##### Attribut-Namespace

Definiert den SAML-Attribut-Namespace für eine vom Sicherheitstoken-Dienst generierte Anweisung.

##### Vertrauenswürdige Aussteller

Legt eine Liste der vertrauenswürdigen Aussteller fest, denen die Versendung von Sicherheitstoken an OpenSSO anvertraut wird. OpenSSO muss überprüfen, ob das Sicherheitstoken von einem dieser Aussteller gesendet wurde.

##### Vertrauenswürdige IP-Adressen

Legt eine Liste der vertrauenswürdigen IP-Adressen fest, denen die Versendung von Sicherheitstoken an OpenSSO anvertraut wird. OpenSSO muss überprüfen, ob das Sicherheitstoken von einem dieser Hosts gesendet wurde.