Shibboleth不会在SAML响应中附加任何nameid

Question

我们正在尝试使用Shibboleth Identity Provider 3和1服务进行一次设置。

我们已经将Shibboleth IDP3配置为使用我们正在运行的OpenLDAP服务。 由于身份验证成功，因此可以正常工作。 （请参见带有绿色下划线的零件图像）。 这是我们在LDAP中创建的名为“ test”的用户的身份。

现在的问题是整个事务失败了，因为我们似乎在SAML响应中缺少名称。

我们已进行了多次尝试来解决此问题，这是我们尝试的一些更改。

在attribute-resolver-ldap.xml中，我们添加了：

<resolver:AttributeDefinition id="mail" xsi:type="ad:Simple" sourceAttributeID="mail">
    <resolver:Dependency ref="myLDAP" />
    <resolver:AttributeEncoder xsi:type="enc:SAML1String" name="urn:mace:dir:attribute-def:mail" encodeType="false" />
    <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="urn:oid:0.9.2342.19200300.100.1.3" friendlyName="mail" encodeType="false" />
</resolver:AttributeDefinition>

在attribute-resolver.xml中，我们添加了一个attributedefinition和一个dataconnector，如下所示：

<!--
   Attribute definition that expects to get the 'email' attribute from the ldap connector
   defined as its dependency and encode it as a SAML 2 name identifier.
-->
<resolver:AttributeDefinition xsi:type="Simple" xmlns="urn:mace:shibboleth:2.0:resolver:ad"
                              id="googleNameID"
                              sourceAttributeID="cn">

    <!--
       The data connector expected to provide the source attribute, email.  Note how the
       value of the 'ref' attribute is the identifier given to the LDAP data connector.
    -->
    <resolver:Dependency ref="ldap" />

    <!-- Encoder that transforms the attribute into a SAML2 NameID -->
    <resolver:AttributeEncoder xsi:type="SAML2StringNameID" xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
                               nameFormat="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />

</resolver:AttributeDefinition>

数据连接器（<..>值正确填写）：

<!-- An LDAP connector that pulls in, at least, an attribute called email. -->
<resolver:DataConnector xsi:type="LDAPDirectory" xmlns="urn:mace:shibboleth:2.0:resolver:dc"
                        id="ldap"
                        ldapURL="ldap://localhost:389"
                        baseDN="dc=<FIRSTDC>,dc=<SECONDDC>"
                        principal="cn=admin,dc=<FIRSTDC>,dc=<SECONDDC>"
                        principalCredential="<PASS>">

    <FilterTemplate>
        <![CDATA[
            (cn=test)
        ]]>
    </FilterTemplate>
</resolver:DataConnector>

在saml-nameid.xml文件中，我们添加了一个nameIDgenerator（我们对SAML1和2都这样做了）：

<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
            p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
            p:attributeSourceIds="#{ {'mail'} }" />

在ldap.properties文件中，我们假设身份验证本身可以正常工作，所以我们已正确配置了所有内容。

服务端的错误是它无法处理SAML消息：

Caused by: org.opensaml.common.SAMLException: NameID element must be present as part of the Subject in the Response message, please enable it in the IDP configuration

Answer 1

可能有很多原因。 在您提供的配置中，我可能会看到一些问题：

1. 在attribute-resolver.xml中 ，您已将AttributeDefinition ID定义为id="googleNameID"而saml-nameid.xml中的AttributeSourceIDs被设置为p:attributeSourceIds="#{ {'mail'} }" 。 这些ID应该完全相同。 将attribute-resolver.xml中的AttributeDefinition更改为：

    <resolver:AttributeDefinition xsi:type="Simple" xmlns="urn:mace:shibboleth:2.0:resolver:ad" id="mail" sourceAttributeID="cn"> <resolver:Dependency ref="ldap" /> <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="mail" friendlyName="mail"/> </resolver:AttributeDefinition> 

2. 在conf / saml-nameid.properties中 ，取消注释并将默认NameID设置为EmailAddress，如下所示：

    idp.nameid.saml2.default = urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress 

3. 您尚未定义任何属性过滤器策略。 将以下内容添加到conf / attribute-filter.xml中 ：

    <afp:AttributeFilterPolicy id="ldapAttributes"> <afp:PolicyRequirementRule xsi:type="basic:ANY" /> <afp:AttributeRule attributeID="mail"> <afp:PermitValueRule xsi:type="basic:ANY"/> </afp:AttributeRule> </afp:AttributeFilterPolicy>