如何將openam配置為身份提供程序（IdP）以測試基於SAML的SSO

Question

我正在嘗試將openam配置為身份提供程序來測試我的基於SAML的服務提供程序應用程序。

我搜索了很多，看到了openam的文檔。 openam支持很多東西，這可能是我現在不需要的東西。 我不想閱讀整篇文檔，這些文檔需要花費大量時間閱讀我現在不想測試的內容。 我甚至在http://docs.forgerock.org/en/openam/10.0.0/admin-guide/index/index.html上看到了聊天9“管理SAML 2.0 SSO”但是在此之前需要配置很多東西。 。

有沒有快速入門指南來測試它作為基於saml的IdP？

編輯

不是很快，詳細也很好。 但我希望OpenAm成為身份提供者。 SP是我們開發的Jetty上托管的應用程序。 還要告訴我，我必須在SP上做些什么改變，比如應用程序的URL應該響應什么。

Answer 1

你的問題確實沒有一個通俗的答案。 設置SAMLv2聯合在很大程度上取決於實際的SP實現，一些SP可以使用SAML元數據，有些則不能。在兩個OpenAM實例之間設置聯合以供參考的最簡單方法是：

• 在node1上創建Hosted IdP向導
• 在node2上創建托管SP向導
• 在兩個節點上刪除持久性NameID-Format，因此兩者都將在列表頂部具有瞬態
• 在node1上注冊遠程SP向導，URL為：node2 / openam / saml2 / jsp / exportmetadata.jsp
• 在node2上注冊Remote IdP向導，URL為：node1 / openam / saml2 / jsp / exportmetadata.jsp
• 在Hosted SP設置中的node2上，將瞬態用戶設置為“匿名”

畢竟，你可以使用以下方法測試聯邦：

• / openam / spssoinit？metaAlias = / sp＆idpEntityID = node2上的node1_entityid
• node1上的/ openam / idpssoinit？metaAlias = / idp＆spEntityID = node2_entityid

我使用了默認的metaAlias值，但這些值應該在控制台頁面上可見。 同樣，通過下載元數據，您可以看到給定實體的實際實體ID。

基於此，您現在應該看到，使用OpenAM IdP，您至少可以使用idpssoinit URL測試SAML支持（如果您的SP支持未經請求的響應），但從相反的方面來看，它幾乎取決於您的SP實現如何需要實際上觸發SAML身份驗證。

Answer 2

這看起來像一個簡單的設置。