問題タブ [saml]

axis2 エンジンで構築された SOAP Web サービスに SAML アサーションを追加しようとしています。この 2 つがどのように相互作用するかについて頭を悩ませています。Axis2 からの応答メッセージに SAML アサーションを追加するための正しい方向を教えてもらえますか?

ありがとう、トム

私の文脈：

• .Net RESTful Web サービス
• クライアント (混合プラットフォーム、テクノロジー、lib 機能) が SAML トークンを取得しました
• REST サービスで認証/認可用のトークンを受け入れようとしています
  • HTTP Authorization / X-Authorization ヘッダー内
  • クエリ パラメータとして
• 後で SWT もサポートしますが、SAML トークンを取得する必要があります

詳細：

文字列に SAML トークンがあります。

HttpModule では、これを ClaimsPrincipal に変換して、サービスが通常の Thread.CurrentPrincipal を IClaimsPrincipal として実行できるようにします。

いくつかの魅力的なページ/ブログ/その他を見つけました...参考になりました:

• HTTP Authorization ヘッダーでトークンを渡すための Cibrax のアイデア
• Dominick Baier 氏は、SWT と同様のことについて、SAML で同じことを簡単に行うことができると述べています。

私は文字通りSAMLトークンをClaimsPrincipalに変換しようとして立ち往生しています（SecurityTokenの中間ステップまたは直接... どちらの方法でも満足しています）。Cibrax のアイデアのサンプル コードでは、重要な検証と逆シリアル化の手順に次のコードを使用しています。

私がぶつかった壁は、WIF の RTM バージョンが GetSecurityToken のこのオーバーロードを公開していないことです...それは公開するだけです:

立ち往生するのを手伝ってくれてありがとう！

タイラー

私は、作業中の Web アプリケーションを SharePoint 2010 と統合しようとする際に発生した問題をグーグルで検索しています。

Web アプリケーションは、ユーザーがフォーム認証または Active Directory に対する WIA を介してログインし、自分自身や他のユーザーのためにコンテンツを作成できるようにする wiki スタイルのツールです。

私たちがやりたいことは、Web アプリケーションで作成したコンテンツと、SharePoint サーバー上にあるコンテンツが混在するページをユーザーが持てるようにすることです。たとえば、SharePoint サーバー上に自分のコンテンツの一部が混在しているドキュメントのリストを表示したい場合があります。

これを実現するには、ユーザーが Web アプリケーションにログインしたときに使用した資格情報 (MYDOMAIN\jsmith など) を取得し、ユーザーにプロンプ​​トを表示することなく、同じユーザー (MYDOMAIN\jsmith) のドキュメントについて SharePoint にクエリを実行できるようにします。資格情報を再入力して SharePoint サーバーにアクセスします (ダブルホップの問題を回避しようとしています)。

これを行う方法についていくつかのオプションを考え出しましたが、最善のアプローチが何であるかはわかりません。

たとえば、SharePoint から必要な情報を取得するために、すべてのユーザーが共有するグローバル ユーザーを設定します。欠点は、SharePoint コンテンツを特定のユーザーにフィルター処理できないことです。ログイン時にユーザーの資格情報を保存できますが、これはフォーム認証を介して認証するユーザーに対してのみ機能し、一部のユーザー/クライアントが好まないセキュリティ上の問題になります。 - WCF を使用して SharePoint 拡張機能を作成し、必要な情報にアクセスできるようにします。

これらのオプションはどちらも理想的ではありません。私たちの調査では、発生している問題を解決しようとしているように見えるクレーム認証/STS オプションに出会いました。

私の質問は、私が書いたことに基づいて、クレーム/STS が私たちにとって最良のアプローチですか? このメソッドを使用して Web アプリケーションから SharePoint を呼び出し、既存の資格情報を渡す方法については、あまり方向性を見つけることができませんでした。

これらの問題の経験がある人はいますか?

チュートリアルによると、OpenSSOにアクセスして「エクスプレスビルド」をダウンロードする必要があります。ただし、OpenSSOサイトの「ExpressBuild 7」のダウンロードリンクでは、有料のサポート契約を結んでいるアカウントからログインする必要があるようです。

現在、OpenSSOウォーをダウンロードするにはどうすればよいですか？

ASP.Net Web サービスと WCF RESTful Web サービスの SAML トークン ベース認証のソリューションをまとめるため、さまざまなサンプルを試してきました。

• http://custombasicauth.codeplex.com/Wikipage
• http://leastprivilege.com/2010/02/15/securing-wcf-data-services-using-wif/
• http://weblogs.asp.net/cibrax/archive/2010/02/17/a-good-way-to-handle-claim-based-security-in-restful-services.aspx
• 等...

私はそれぞれの障害物を乗り越えて戦ってきました、そして私はそれを味わうことができるほど近づいています. 私が手に入れた最新のブロックはこれです：

通常の WebServiceHostFactory を使用すると、カスタム承認ポリシーが適用され、Thread.CurrentPrincipal は、HttpModule が HttpContext.Current.User に設定した値を取得することになります...しかし... WebServiceHost2Factory を使用すると (つまり、REST スターターから) Kit) を使用して自動ヘルプ エンドポイントなどを取得すると、認証ポリシーは適用されず、Thread.CurrentPrincipal は、HttpModule で設定した ClaimsPrincipal とはまったく関係のない RoleProviderPrincipal のインスタンスになります。 -(

WebServiceHost2Factory をカスタム/オーバーライドされたプリンシパルとうまく連携させる方法についての考え、アイデアはありますか?

ありがとう、

タイラー

PF が提供する Java API を使用して、PingFederate (PF) サーバーからトークンを消費する Java サーブレット フィルターを既に実装しました。これにより、私のアプリケーションは PF SSO セットアップでサービス プロバイダー アプリケーションを提供できるようになります。PingFederates API を使用すると、次のような単純なことを実行できます。

MultiMap は、トークンの属性のマップ、または要求パラメーターにトークンが渡されなかった場合は null になります。あとは、属性をアプリケーションの User モデルにマップするだけです。agent-config.txt は、設定時に PingFederate によって生成されるファイルです。

さまざまなクライアントが、これと同様の SSO ソリューションを求めていますが、異なる SAML 実装を使用しています。

同様のことを行うが、複数の SAML 実装からトークンを消費できる汎用 API について知っていますか?

PF API を使用して、ADFS、OpenSAML などの他の SAML 実装からトークンを消費できるかどうかは誰にもわかりませんか?

SAMLとOAuthを使用したフェデレーションログインの違いは何ですか？企業がサードパーティのWebアプリを使用したいが、シングルサインオンを希望し、認証機関になりたい場合、どちらのソリューションがより理にかなっていますか？

(仕様によれば) SAML を使用して、あらゆるタイプのアプリケーションのユーザーを認証できるはずですが、私が見た例は Cookie ベースの ASP.NET Web サイトです。

たとえば、Win Forms アプリ (Cookie を使用しない) でユーザーを認証する例を知っている人はいますか?

パッシブ STS を介して既に認証されている Web サイトから既存の SAML トークンを渡す最良の方法は何ですか?

認証のために Web サイトにパッシブ クレームを発行する ID プロバイダーを構築しました。これが機能しています。ここで、いくつかの WCF サービスをミックスに追加して、既に認証済みの Web アプリケーションのコンテキストから呼び出します。理想的には、何もせずに SAML トークンを渡したいだけです (つまり、新しいクレームの追加や再署名)。私が見たすべての例では、ActAs sts の実装が必要ですが、これは本当に必要なのでしょうか? これは、私たちが達成したいことに対して少し肥大化しているようです。

CreateChannelActingAs または CreateChannelWithIssuedToken メカニズム (および ChannelFactory.Credentials.SupportInteractive = false を設定) を使用して、正しいバインディングで WCF サービスを呼び出す (それは何でしょうか?)十分でした。

参考としてFabrikamのサンプル コードを使用していますが、ここで述べたように、ここでの ActAs 機能は、私たちが達成しようとしているものに対して過剰であると考えています。

Java Webサービス（Glassfish）と通信しているWCFクライアントにSAML2.0を実装する必要があります。私はSAMLについてほとんど知りません。ここ（および他の場所）で少し検索した後、WCFを使用して実装する方法についてはあまりわかりません。WCFはSOAPレイヤーからあなたを抽象化するので、どうすればSAMLアサーションをSOAPヘッダーに追加できますか？ComponentSpaceのようなサードパーティのツールが最適に機能しますか？それとも私は自分で転がす必要がありますか？他のアドバイス？