問題タブ [saml]

私は、SAML 認証サービスまたは EWS (Entitlement Web Service Authentication) サービスのいずれかを実装する任務を負っていましたが、そのようなオプションに関するサンプルやドキュメントを誰かが持っているかどうか疑問に思っていました。プロジェクトの時間枠を考えると、SAML が問題外であることはほぼ 100% 確信しています。

EWS をオンラインで見つけるのは困難でした。そのようなサービスの実装に関する適切なサンプルやドキュメントを見つけることができないようです。

SAMLトークンが（SOAインフラストラクチャで）有効であるべき期間はどれくらいですか？数時間（6〜12時間）考えました。

どうもありがとう マーカス

セキュリティ キーを送信している顧客がいます。彼らが使用している暗号化はトリプル DES です。彼らが送信するすべてのアサーションには、必要な特権を与えるために検証する必要がある署名値があります。これを行うサンプルコードを教えてください。

IDプロバイダーによって発行されたSAML2.0トークンを使用して認証を行うWebアプリケーションを作成したいと思います。この質問によると、PHPの世界にはsimpleSAMLphpを使用した実行可能なソリューションがあることを理解しています。

Javaの世界に同等の方法はありますか？servlet一般的なコンテナまたはアプリケーションサーバー用のすぐに使用できるソリューションやチュートリアルはありますか？

最初のいくつかの背景：

最近、通信しているサーバーにSAML2.0アサーションを送信するように指示されました。クライアントにはWCFを使用しています。サーバーはWCFを使用していません。サーバーを実装する人は、SAMLアサーションを発行するSTSを持っていません。SAML 2.0トークンをサポートしているため、WIFフレームワークを使用しようとしています。

1. STSからSAML2トークンを取得せずに、クライアントからのメッセージでSAML 2.0アサーションを送信することは可能ですか？誰かがWCFとWindowsIdentityFoundationでこれを行う方法に関するサンプルコードを投稿できますか？周りを見回しても何も見つかりませんでした。

2. クライアントがSTSからSAML2.0トークンを取得し、そのトークンをアサーションとともにサーバーアプリに送信する例はありますか？

ブラウザー ウィンドウ全体を宛先にリダイレクトせずに、その後 302 リダイレクトを返す IFRAME 内にコンテンツを読み込むことは可能ですか? つまり、リダイレクトを IFRAME 自体に制限しますか? もしそうなら、どのように？

EDIT1: 言い換えると... IFRAME があり、そのソースは自己投稿フォームです。このアクションは、302 を別の場所に返します。その場合、ページ全体がリダイレクトされます。私が望むのは、IFRAME リダイレクトのみを使用して、周囲のページをそのままにしておくことです。

EDIT2: さらに明確にするために、これは SSO SAML 実装です。IFRAME コンテンツには、新しくサインインしたアプリケーションが含まれている必要があります。SSO は正しく機能していますが、ブラウザー ページ全体がアプリケーションにリダイレクトされ、含まれているページが失われます。SAML の側面は、アプリケーションが「フレーム バスティング」であるという診断を変更しない可能性がありますが、他の考えを引き起こす可能性があります。

NB-6.8 jdk-1.6.14 WSS4j-1.5.8 ,OpenSAML-2.3.0 WSS4J-1.5.8 を変更して SAML 2.0 を動作させようとしましたが、生成されたアサーションを既存の SOAP ヘッダーに挿入できませんでした。次のようなコードです。 :

エラー: WRONG_DOCUMENT_ERR: ノードは、それを作成したドキュメントとは別のドキュメントで使用されています。

しかし、wss4j では、insertSecurityHeader のような一部の関数もそうします (appendChild またはinserBefore)。それらは機能しますが、なぜ私のコードで間違っているのですか? 私が恋しいもの。

私はしばらくこの問題を抱えていて、気が狂いそうになっています。SAML 1.1 を使用して WebLogic 10.0 サーバーにサインオンするクライアント (C# .NET 2.0) を作成しようとしています (つまり、ブラウザ/ポスト プロファイルを使用するシングル サインオン シナリオ)。クライアントは WinXP マシン上にあり、WebLogic サーバーは RHEL 5 ボックス上にあります。

クライアントは、主に次の例のコードに基づいています: http://www.codeproject.com/KB/aspnet/DotNetSamlPost.aspx (ソースには SAML 1.1 のセクションがあります)。

ここからの SAML 宛先サイトの指示に基づいて WebLogic をセットアップしました: http://www.oracle.com/technology/pub/articles/dev2arch/2006/12/sso-with-saml4.html

VS 2005 に付属の makecert を使用して証明書を作成しました。

次に、.pfx を個人証明書ディレクトリにインストールし、.cer を WebLogic SAML Identity Asserter V2 にインストールしました。

別のサイトで、署名後に応答を読み取り可能にフォーマットする (つまり、空白を追加する) とこの問題が発生することを読んだので、ロード時に .Indent XMLWriterSettings のオン/オフと .PreserveWhiteSpace のオン/オフのさまざまな組み合わせを試しました。 XML ドキュメントであり、どれも違いはありませんでした。メッセージがエンコード/送信される前と、メッセージが到着/デコードされた後の両方で SignatureValue を出力しましたが、それらは同じです。

したがって、明確にするために、応答は適切に形成、エンコード、送信、およびデコードされているように見えます (WebLogic ログに完全な応答が表示されます)。WebLogic は使用したい証明書を見つけ、キーが提供されたことを確認し、署名された情報を取得しますが、署名の検証に失敗します。

コード：

クライアント アプリでページを開くには、

ADFS 2.0 は、このウィキペディアの記事で言及されているように、SAML 1.1 プロトコルと Web SSO プロファイルをサポートしていますか? それとも SAML 1.1 トークンのみがサポートされていますか?

私は、フェデレーション セキュリティを使用して WCF サービスに接続するコンポーネントにユーザー切り替えを実装する任務を負っています。

Tokenclaims.ReadClaim() を使用して、現在ログオンしているユーザー名を確認できます。

このトークンを無効にして別のログオンを強制するにはどうすればよいですか?

資格情報のユーザー名とパスワードを変更しようとしましたが、既存のクレームがまだ使用されているため、うまくいかないようです。

ヘルプ ：）