SAMLv2-Dienstanbieter umfassen die folgenden Attributgruppen:
Wählen Sie ein beliebiges Kontrollkästchen aus, um das Signieren für die folgenden SAMLv2-Dienstanbieter-Anforderungen oder -antworten zu aktivieren:
Authentifizierungsanforderungen signiert |
Alle Authentifizierungsanforderungen, die von diesem Dienstanbieter empfangen werden, müssen signiert werden. |
Dienstanbieter signiert |
Alle Assertions, die von diesem Dienstanbieter empfangen werden, müssen signiert werden. |
POST-Antwort signiert |
Der Identity-Anbieter muss das PostResponse-Element signieren. |
Artifact-Antwort |
Der Identity-Anbieter muss das ArtifactResponse-Element signieren. |
Abmeldungsanforderung |
Der Identity-Anbieter muss das LogoutRequest-Element signieren. |
Abmeldungsantwort |
Der Identity-Anbieter muss das LogoutResponse-Element signieren. |
Anforderung für Verwaltung von Namens-ID |
Der Identity-Anbieter muss das ManageNameIDRequst-Element signieren. |
Antwort für Verwaltung von Namens-ID |
Der Identity-Anbieter muss das ManageNameIDResponse-Element signieren. |
Wählen Sie ein beliebiges Kontrollkästchen aus, um die Verschlüsselung für die folgenden Elemente zu aktivieren:
Attribut |
Der Identity-Anbieter muss alle AttributeStatement-Elemente signieren. |
Assertion |
Der Identity-Anbieter muss alle Assertion-Elemente signieren. |
NameID |
Der Identity-Anbieter muss alle NameID-Elemente signieren. |
Dieses Attribut definiert die Zertifikatalias-Elemente für den Dienstanbieter. SignierenGibt den Anbieterzertifikatalias an, der für die Suche nach dem richtigen Signaturzertifikat im Schlüsselspeicher verwendet wird. VerschlüsselungGibt den Anbieterzertifikatalias an, der für die Suche nach dem richtigen Verschlüsselungszertifikat im Schlüsselspeicher verwendet wird.
Definiert das Format für den Namensbezeichner, der vom Dienstanbieter unterstützt wird. Namensbezeichner sind eine Möglichkeit für Anbieter, miteinander im Hinblick auf einen Benutzer zu kommunizieren. Single Sign-On-Interaktionen unterstützen die folgenden Bezeichnertypen:
urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
Ein beständiger Bezeichner wird im Datenspeichereintrag eines bestimmten Benutzers als der Wert von zwei Attributen gespeichert. Ein temporärer Bezeichner ist vorläufig und es werden keine Daten in den beständigen Datenspeicher des Benutzers geschrieben.
Dieses Attribut ordnet SAMLv2-definierte Authentifizierungskontext-Klassen zu den Authentifizierungsmethoden hinzu, die der Dienstanbieter verfügbar macht.
Gibt die Implementierung der SPAuthnContextMapper-Schnittstelle an, die für die Erstellung des angeforderten Authentifizierungskontexts verwendet wird. Die Standardimplementierung ist com.sun.identity.saml2.plugins.DefaultSPAuthnContexteMapper .
Wählen Sie das Kontrollkästchen neben der Authentifizierungskontext-Klasse aus, wenn diese vom Identity-Anbieter unterstützt wird.
Die SAMLv2-definierten Authentifizierungskontext-Klassen sind:
InternetProtocol
InternetProtocolPassword
Kerberos
MobileOneFactorUnregistered
MobileTwoFactorUnregistered
MobileOneFactorContract
MobileTwoFactorContract
Password
Passwort-ProtectedTransport
Zurück-Sitzung
X509
PGP
SPKI
XMLDSig
Smartcard
Smartcard-PKI
Software-PKI
Telefonie
NomadTelephony
PersonalTelephony
AuthenticaionTelephony
SecureRemotePassword
TLSClient
Time-Sync-Token
Nicht angegeben
Nimmt eine positive Zahl als Wert, der einer Authentifizierungsebene zugeordnet wird, die im OpenSSO Authentication Framework definiert ist. Die Authentifizierungsebene gibt an, inwieweit einer Authentifizierungsmethode vertraut werden kann.
In dieser Struktur ist jeder Dienstanbieter mit einem Standardauthentifizierungskontext (die bevorzugte Authentifizierungsmethode) konfiguriert. Der Anbieter möchte jedoch vielleicht den zugewiesenen Authentifizierungskontext in einen ändern, der auf der definierten Authentifizierungsebene basiert. Anbieter B möchte beispielsweise eine lokale Sitzung mit der Authentifizierungsebene 3 erzeugen, also sendet er eine Anforderung an den Identity-Anbieter, um den Benutzer mit einem Authentifizierungskontext zu authentifizieren, dem diese Ebene zugewiesen ist. Der Wert dieses Abfrageparameters bestimmt den Authentifizierungskontext, der durch den Identity-Anbieter verwendet wird.
Gibt an, wie der Authentifizierungskontext verglichen mit dem Wert dieser Eigenschaft sein muss. Akzeptierte Werte umfassen:
Exakt Hierbei muss die Authentifizierungskontextanweisung in der Assertion exakt mit mindestens einem der angegebenen Authentifizierungskontexte übereinstimmen.
Minimum Hierbei muss die Authentifizierungskontextanweisung in der Assertion mindestens so stark sein wie einer der angegebenen Authentifizierungskontexte (laut dem Identity-Anbieter).
Maximum Hierbei muss die Authentifizierungskontextanweisung in der Assertion stärker sein als alle der angegebenen Authentifizierungskontexte.
Besser Hierbei muss die Authentifizierungskontextanweisung in der Assertion stärker sein als alle der angegebenen Authentifizierungskontexte.
Der Standardwert ist exact.
Behauptungen sind während eines bestimmten Zeitraums gültig, und nicht davor oder danach. Dieses Attribut gibt eine Frist (in Sekunden) für den notBefore-Wert an. Der Standardwert ist 300. Er hat keine Bedeutung für den notAfter-Wert.
Die Basisauthentifizierung kann zum Schutz von SOAP-Endpunkten aktiviert werden. Sämtliche Anbieter, die auf diese Endpunkte zugreifen, müssen über einen definierten Benutzer und ein Passwort in den folgenden beiden Eigenschaften verfügen: Benutzername und Passwort.
Gibt die Werte an, die die Zuordnungen definieren, die vom standardmäßigen Attribut-Mapper-Plugin verwendet werden. Die standardmäßige Plugin-Klasse lautet com.sun.identity.saml2.plugins.DefaultSPAttributeMapper.
Zuordnungen sollen in folgendem Format konfiguriert werden:
SAML-attribute=local-attribute
Beispiel: EmailAddress=mail oder Address=postaladdress . Geben Sie die Zuordnung als neuen Wert ein und klicken Sie auf "Hinzufügen".
Falls aktiviert, verbindet die automatische Verbindung die verschiedenen Anbieterkonten eines Benutzers auf der Grundlage eines gemeinsamen Attributs. Das Attributfeld gibt das Attribut an, das für die Übereinstimmung der verschiedenen Anbieterkonten eines Benutzer verwendet wird, wenn die automatische Verbindung aktiviert ist.
Gibt die Implementierung der AccountMapper-Schnittstelle an, die für die Zuordnung eines Remote-Benutzerkontos zu einem lokalen Benutzerkonto zum Zwecke des Single Sign-On verwendet wird. Der Standardwert ist com.sun.identity.saml2.plugins.DefaultSPAccountMapper , die Standardimplementierung.
Mit diesem Attribut wird das Nachrichtenverschlüsselungsformat für Artifact definiert (URI oder FORM).
Dieses Attribut gibt den Bezeichner des Benutzers an, dem alle Identity-Anbieterbenutzer auf der Dienstanbieter-Seite zugeordnet werden, falls Single Sign-On mit dem temporären Namensbezeichner verwendet wird.
Der lokale Authentifizierungs-URL gibt den URL der lokalen Anmeldeseite an.
Der SP-URL gibt einen URL an, zu dem ein Benutzer nach der Authentifizierung und vor dem URL der ursprünglichen Anforderung geleitet werden kann. Ein Beispiel kann eine Seite für eine erfolgreiche Kontoerstellung nach der automatischen Erstellung eines Benutzerkontos sein.
Über die Abmelde-URL für externe Anwendungen wird die Abmelde-URL für eine externe Anwendung definiert. Sobald der Server eine Aufforderung zum Abmelden vom Remote-Partner erhält, wird mittels HTTP POST (Back Channel) eine Anforderung mit allen Cookies an die Abmelde-URL gesendet. Wahlweise kann eine Benutzer-Sitzungseigenschaft als HTTP header- und POST-Parameter gesendet werden, wenn die URL den Abfrageparameter appsessionproperty (auf den Namen der Sitzungseigenschaft gesetzt) enthält.
Nach einem erfolgreichen SAML v2-Vorgang (Single Sign-On, Einzelabmeldung oder Verbindungstrennung) wird eine Seite angezeigt. Diese Seite, im Allgemeinen die ursprünglich angeforderte Ressource, wird in der initiierenden Anforderung mithilfe des RelayState-Elements angegeben. Wenn kein RelayState angegeben ist, wird der Wert dieser defaultRelayState-Eigenschaft angezeigt.
Achtung – Wenn RelayState oder defaultRelayState Sonderzeichen enthält (wie &), muss das Element URL-verschlüsselt sein. Beispiel: Wenn der Wert von RelayState http://www.sun.com/apps/myapp.jsp?param1=abc¶m2=xyz lautet, muss er URL-verschlüsselt sein als:
http%3A%2F%2Fwww.sun.com%2Fapps%2Fmyapp.jsp%3Fparam1%3Dabc%26param2%3Dxyz
Er muss dann an den URL angehängt werden. Beispiel: Der vom Dienstanbieter initiierte Single Sign-On-URL wäre:
http://host:port/ deploy-uri/saml2/jsp/spSSOInit.jsp?metaAlias=/sp&idpEntityID=http://www.idp.com&RelayState=http%3A%2F%2Fwww.sun.com%2Fapps%2Fmyapp.jsp%3Fparam1%3Dabc%26param2%3Dxyz
Definiert die Implementierungsklasse für die com.sun.identity.federation.plugins.FederationSPAdapter-Schnittstelle, die zum Hinzufügen anwendungsspezifischer Verarbeitungsschritte während des Verbindungsvorgangs verwendet wird.
Gibt einen metaAlias für den zu konfigurierende Anbieter an. Der metaAlias wird verwendet, um nach dem Entity-Bezeichner des Anbieters und nach dem entsprechenden Unternehmen zu suchen. Der Wert ist eine Zeichenfolge, die dem Bereich oder Unternehmensnamen (je nachdem, ob das SAML v2-Plugin für Verbindungsdienste in OpenSSO installiert ist), verbunden mit einem Schrägstrich und dem Anbieternamen entspricht. Z. B. /suncorp/travelprovider.
Achtung – Die im metaAlias verwendeten Namen dürfen keinen / enthalten.
Der Einzelabmeldungsdienst synchronisiert die Abmeldefunktion in allen Sitzungen, die vom Dienstanbieter authentifiziert wurden.
Speicherort gibt den URL des Anbieters an, an den die Anforderung gesendet wird. Antwort-Speicherort gibt den URL des erwarteten Antwortanbieters an. Die Binding-Typen sind:
HTTP Redirect
POST
SOAP
Dieser Dienst definiert URLs, die für die Kommunikation mit dem Dienstanbieter verwendet werden, um einen neuen Namensbezeichner für den Principal anzugeben. (Die Registrierung kann erst stattfinden, nachdem eine Verbindungssitzung eingerichtet wurde.)
Speicherort gibt den URL des Anbieters an, an den die Anforderung gesendet wird. Antwort-Speicherort gibt den URL des erwarteten Antwortanbieters an. Die Binding-Typen sind:
HTTP Redirect
POST
SOAP
Dieser Dienst verarbeitet die Antworten, die ein Dienstanbieter von einem Identity-Anbieter empfängt. Wenn ein Dienstanbieter einen Benutzer authentifizieren möchte, sendet er eine Authentifizierungsanforderung an den Identity-Anbieter.
HTTP-Artifact gibt ein nicht browserbasiertes SOAP-Protokoll an.
HTTP-Post gibt ein browserbasiertes HTTP POST-Protokoll an.
PAOS definiert den URL-Speicherort für das PAOS-Binding.
Speicherort gibt den URL des Anbieters an, an den die Anforderung gesendet wird. Index gibt den URL in den Standard-Metadaten an. Default ist die für das Binding zu verwendende Standard-URL.
Definiert den URL-Endpunkt bei einem Dienstanbieter, der SAE (Secure Attribute Exchange)-Anforderungen verarbeiten kann. Wenn dieser URL leer ist (nicht konfiguriert), wird SAE Single Sign-On nicht aktiviert. Normale SAMLv2-Single Sign-On-Antworten werden an den Dienstanbieter gesendet.
Definiert den URL-Endpunkt bei einem Dienstanbieter, der globale SAE-Abmeldeanforderungen verarbeiten kann.
Dieses Attribut definiert die Anwendungs-Sicherheitskonfiguration. Jede Anwendung muss über einen Eintrag verfügen. Alle Einträge weisen das folgende Format auf:
url=SPAppURL|type=symmetric_orAsymmetric|secret= ampassword encoded shared secret
Definiert die Implementierungsklasse des SPI für das Suchprogramm für IDP-Listen Dadurch wird eine Liste mit bevorzugten Identity-Anbietern ausgegeben, die laut ECP als vertrauenswürdig eingestuft werden.
Gibt eine URI-Referenz an, die für das Abrufen der vollständigen Identity-Anbieterliste verwendet werden kann, wenn das IDPList-Element nicht vollständig ist.
Definiert eine Liste mit Identity-Anbietern, die dem ECP für den Kontakt zur Verfügung stehen. Diese wird von der Standardimplementierung des IDP-Suchprogramms verwendet (z. B. com.sun.identity.saml2.plugins.ECPIDPFinder) .
Proxy-Authentifizierungskonfigurationsattribute definieren Werte für das dynamische Identity-Anbieter-Proxying. Wählen Sie das Kontrollkästchen aus, um die Proxy-Authentifizierung für einen Dienstanbieter zu aktivieren.
Aktivieren Sie dieses Kontrollkästchen, wenn zum Auffinden des Proxy-Identity-Anbieters Einführungen verwendet werden sollen.
Geben Sie die maximale Anzahl an Identity-Anbietern ein, die für die Proxy-Authentifizierung verwendet werden können.
Fügen Sie eine Liste der Identity-Anbieter hinzu, die für die Proxy-Authentifizierung verwendet werden können. Geben Sie unter "Neuer Wert" den URI ein, der als Bezeichner des Anbieters definiert ist, und klicken Sie auf "Hinzufügen".