Mit den in diesem Dienst enthaltenen Attributen wird die dynamische Konfiguration für den Sicherheitstoken-Dienst (Security Token Service, STS) von OpenSSO definiert. Mit diesen Attributen wird die folgende Konfiguration definiert:
Ausgeben und Erstellen von Sicherheitstoken
Webdienstsicherheit für den STS selbst zur Sicherung der Endpunkte des STS-Diensts. Die Signierungs- und Verschlüsselungsattribute konfigurieren die Serveranbieter-Überprüfung eingehender WS-Trust-Anforderungen und sichern die ausgehenden WS-Trust-Antworten. Das Attribut für den Sicherheitsmechanismus definiert den Sicherheitsnachweis der Sicherheitstokens.
SAML-Konfiguration zum Anfordern der SAML-Attributzuordnung im Sicherheitstoken (über eine SAML-Anweisung), wenn der konfigurierte STS als Webdienstanbieter angegeben ist und ein von einem Remote-STS generiertes SAML-Token (Anweisung) erhält.
Sicherheitstoken-Überprüfung, die bei Generierung des Tokens durch einen Remote-STS von einem Webdienstanbieter empfangen wurde.
Sie können Profile für die dynamische Konfiguration für verschiedene OpenSSO-Webdienstsicherheit-Anbieter in der Centralized Agent configuration auf der Registerkarte für Bereiche erstellen.
Der Name des Sicherheitstoken-Diensts, der die Sicherheitstoken ausstellt.
In diesem Feld ist ein Wert im folgenden Format zulässig:
%protocol://%host:%port%uri/sts
Diese Syntax ermöglicht das dynamische Ersetzen der URL für den Sicherheitstoken-Dienst-Endpunkt, basierend auf den sitzungsspezifischen Parametern.
Wenn dieses Attribut aktiviert ist, wird der vom Sicherheitstoken-Dienst ausgestellte Schlüssel verschlüsselt.
Wenn dieses Attribut aktiviert ist, wird das vom Sicherheitstoken-Dienst ausgestellte Sicherheitstoken verschlüsselt.
Definiert die Zeit, für die das ausgestellte Token gültig ist.
Dieses Attribut gibt die Implementierungsklasse für den Sicherheitstokenanbieter/-aussteller an.
Definiert den Aliasnamen für das Zertifikat, das der Sicherheitstoken-Dienst zur Signierung der vom Sicherheitstoken-Dienst ausgestellten Sicherheitstoken verwendet.
Definiert die Implementierungsklasse für die Konvertierung des Endbenutzer-Tokens.
Definiert den Typ des Sicherheitsnachweises, der zur Sicherung des Tokens selbst verwendet wird, oder des Sicherheitsnachweises, den der Sicherheitstoken-Dienst von der vom Client gesendeten WS-Trust-Anforderung übernommen hat. Folgende Sicherheitstypen stehen zur Auswahl:
Anonymous (Anonym) – Der anonyme Sicherheitsmechanismus enthält keine Sicherheitsnachweise.
KerberosToken – Es werden Kerberos-Token verwendet.
LibertyDiscoverySecurity – Verwendet Liberty-basierte Sicherheitstoken.
SAML-HolderOfKey – Verwendet den SAML 1.1-Behauptungstyp "Holder-Of-Key".
SAML-SenderVouches – Verwendet den SAML 1.1-Behauptungstyp "Sender Vouches".
SAML2–HolderOfKey – Verwendet den SAML 2.0-Behauptungstoken-Typ "Holder-Of-Key".
SAML2–SenderVouches – Verwendet den SAML 2.0-Behauptungstoken-Typ " Sender Vouches".
STSSecurity – Definiert, dass der Sicherheitstoken-Dienstagent das Sicherheitstoken vom Sicherheitstoken-Dienst abruft.
UserNameToken – Verwendet ein Benutzernamens-Token zur Sicherung der Anforderungen an den Sicherheitstoken-Dienst.
UserNameToken-Plain – Verwendet ein Benutzernamens-Token mit einem Klartextpasswort zur Sicherung der Anforderungen an den Sicherheitstoken-Dienst.
X509Token –Verwendet das X509-Zertifikat zur Sicherung des Sicherheitstokens.
Definiert den Namen der Authentifizierungskette bzw. des Authentifizierungsdiensts, der zur Authentifizierung beim OpenSSO-Authentifizierungsdienst mithilfe des Berechtigungsnachweises aus dem Sicherheitstoken einer eingehenden Ausstelleranforderung verwendet werden kann, um das authentifizierte Sicherheitstoken von OpenSSO zu erstellen.
Das Attribut steht für die Shared Secrets des Benutzernamens/Passworts, die vom Sicherheitstoken-Dienst zur Überprüfung eines vom Client als Teil einer eingehenden WS-Trust-Anforderung gesendeten Benutzernamen-Tokens verwendet werden.
Gibt an, dass der Sicherheitstoken-Dienst die Signatur der eingehenden WS-Trust-Anforderung überprüfen muss.
Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Anforderungskopfzeilen entschlüsselt sein müssen.
Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Anforderungen entschlüsselt sein müssen.
Gibt an, dass alle vom Sicherheitstoken-Dienst eingehenden Antworten signiert sein müssen.
Gibt an, dass alle vom Sicherheitstoken-Dienst gesendeten Antworten verschlüsselt sein müssen.
Definiert die Referenztypen, die verwendet werden, wenn der Sicherheitstoken-Dienst die WS-Trust-Antwort signiert. Die möglichen Referenztypen sind DircectReference , KeyIdentifier und X509.
Definiert den Verschlüsselungsalgorithmus, den der Sicherheitstoken-Dienst zur Verschlüsselung der WS-Trust-Antwort verwendet.
Definiert die Stärke der Verschlüsselung, die der Sicherheitstoken-Dienst zur Verschlüsselung der WS-Trust-Antwort verwendet. Wählen Sie einen größeren Wert für eine höhere Verschlüsselungsstärke aus.
Dieses Attribut definiert den Alias des privaten Zertifikatschlüssels, der verwendet wird, um die WS-Trust-Antwort zu signieren oder die eingehende WS-Trust-Anforderung zu entschlüsseln.
Dieses Attribut definiert den Typ des privaten Zertifikatschlüssels, der zur Signierung der WS-Trust-Antworten oder Entschlüsselung der WS-Trust-Anforderungen verwendet wird. Die möglichen Typen sind PublicKey, SymmetricKey und NoProofKey.
Definiert den Alias des öffentlichen Zertifikatschlüssels, mit dem die Signatur der eingehenden WS-Trust-Anforderung überprüft oder die WS-Trust-Antwort verschlüsselt wird.
Gibt den Hostnamen des Kerberos-Verteilungscenters (Domänencontroller) an. Hier ist der vollständig qualifizierte Domänenname (FQDN) des Domänencontrollers erforderlich.
Gibt den Domänennamen des Kerberos-Verteilungscenters (Domänencontroller) an. Je nach Konfiguration ist der Domänenname des Domänencontrollers nicht identisch mit dem Domänennamen von OpenSSO.
Legt den Kerberos-Principal als Eigentümer des generierten Sicherheitstokens fest.
Verwenden Sie die folgende Syntax:
HTTP/hostname.domainname@dc_domain_name
hostname und domainame stehen für den Hostnamen und den Domänennamen der OpenSSO-Instanz. dc_domain_name is the Kerberos domain in which the Windows Kerberos server (domain controller) resides. Der Kerberos-Server unterscheidet sich möglicherweise vom Domänennamen der OpenSSO-Instanz.
Gibt die zur Ausgabe des Tokens verwendete Kerberos-Keytab-Datei an. Folgendes Format wird empfohlen, auch wenn es nicht vorgeschrieben ist:
hostname.HTTP.keytab
hostname ist der Hostname der OpenSSO-Instanz.
Wenn es aktiviert ist, wird mit diesem Attribut angegeben, dass das Kerberos-Token signiert ist.
Hinweis – Alle folgenden SAML-bezogenen Attribute müssen für die Konfiguration verwendet werden, wenn die aktuelle Instanz des Sicherheitstoken-Diensts als Webdienstanbieter fungiert und ein von einer anderen Instanz des Sicherheitstoken-Dients generiertes SAML-Token erhält.
Diese Konfiguration stellt ein SAML-Attribut dar, das während der Erstellung einer SAML-Anweisung durch den Sicherheitstoken-Dienst für einen Webdienstanbieter als Attributanweisung generiert werden muss. Das Format lautet: SAML_Attributname= Tatsächlicher_Attributname.
SAML_Attributname ist der SAML-Attributname aus einer SAML-Behauptung, die aus einer eingehenden Webdienstanforderung stammt. Tatsächlicher_Attributname ist der Attributname der entweder aus dem authentifizierten SSOToken oder aus dem Identitäts-Repository abgerufen wird.
Der Mapper für SAML-NameID für eine vom Sicherheitstoken-Dienst generierte Anweisung.
Wenn diese Option aktiviert ist, enthält die generierte Anweisung Benutzermitgliedschaften als SAML-Attribute.
Definiert den SAML-Attribut-Namespace für eine vom Sicherheitstoken-Dienst generierte Anweisung.
Legt eine Liste der vertrauenswürdigen Aussteller fest, denen die Versendung von Sicherheitstoken an OpenSSO anvertraut wird. OpenSSO muss überprüfen, ob das Sicherheitstoken von einem dieser Aussteller gesendet wurde.
Legt eine Liste der vertrauenswürdigen IP-Adressen fest, denen die Versendung von Sicherheitstoken an OpenSSO anvertraut wird. OpenSSO muss überprüfen, ob das Sicherheitstoken von einem dieser Hosts gesendet wurde.