SAML SSO 在 Websphere Liberty 中不起作用

Question

我第一次嘗試在 Liberty 中實現 SSO。 我在 Liberty 中有一個應用程序，我希望成為服務提供者並使用 Azure 作為身份提供者。 目前我想讓SP啟動。

按照以下鏈接中的第一步：

https://www.ibm.com/docs/en/was-liberty/base?topic=liberty-configuring-saml-web-browser-sso-in

我已經把 samlWeb-2.0 和

進入 server.xml，我看到 SAML 啟動。

然后我能夠從 ibm/saml20/defaultSP/samlmetadata url 獲取 SP 元數據。

我從 Azure 獲得了 IDP 元數據並安裝在 resources/security/idpMetadata.xml 中。

因此，當我訪問我的應用程序時，它會轉到上面的登錄頁面，但我收到消息：

AADSTS750054：SAMLRequest 或 SAMLResponse 必須作為查詢字符串參數出現在 HTTP SAML 重定向綁定請求中。

這是真的——沒有查詢參數。 我在這里錯過了什么？ 為什么 Liberty 不嘗試構建授權請求？

此外，Azure 要我安裝證書（Base64 或 Raw），我假設它進入安全文件夾但我不應該引用它嗎？ 我注意到 iDp 元數據中有 X509Certificate 標簽，所以我不確定 cer 文件是如何發揮作用的。

如果有人可以提供任何指導，我將不勝感激。

Answer 1

AADSTS750054 SAMLResponse 必須作為查詢字符串參數出現在 HTTP SAML 重定向綁定請求中。

此錯誤是由於不正確的 idP 登錄頁面 URL 用於 sso_1.sp.login.error.page 屬性。

您配置的SAML SSO是idP發起的SSO，WebSphere不支持SAML重定向綁定。 它只支持 SAML POST 綁定。 本文檔包含有關該錯誤的更多信息： https://www.ibm.com/support/pages/node/277989

搜索 AADSTS750054

如果您將 sso_1.sp.login.error.page 指向 azure 中定義的登錄頁面，則 url 需要發送 SAMLRequest。

嘗試將 sso_1.sp.login.error.page 更改為 Azure 控制台“Azure > 屬性 > 訪問 URL”中的值，然后進行測試。

Answer 2

LIberty 支持 HTTP POST 綁定。 看起來您的 Azure 配置為支持 HTTP 重定向綁定。 您可以修改您的 Azure 設置以啟用 HTTP POST 綁定嗎？