問題タブ [shibboleth]

CAS Shibboleth の .NET で MembershipProvider を作成することは可能ですか?

Shibboleth 認証を使用してアプリをフロントエンドしています。アプリに表示するために、認証済みのユーザー名を取得するにはどうすればよいですか?

私は手動ログインでShibbolethを使用しました。つまり、ユーザーがWebサイトのログインリンクをクリックすると、Shibbolethログインページがある外部ページが開きます。認証されると、元のサイトのShibboleth対応ページにリダイレクトされます。

私の質問は一度ログインすると別のサイトに移動しますが、最初のサイトからのShibbolethセッションがすでにあるので、どうすれば自動的に認証できますか。最初のサイトのようなアクションをクリックする必要がありますか？それは、ユーザーに表示されない暗黙のリダイレクトを使用して自動ログインしますか、またはユーザーがページの読み込みごとにチェックを行わずにログインリンクをクリックせずにこれを行うことができますか？

高等教育機関の2つのクライアントは、SSOにShibbolethを使用しています。私はShibの経験がなく、テストするインスタンスもありません。

最終的には、ShibSSOをこれらのクライアントとWindowsAzure（MVC）Webロールに統合したいと考えています。だから私の質問は：

1. これは可能ですか？
2. もしそうなら、どのように？Shibで設定を行う必要がありますか？それらは何ですか？

これについては、昨年のMIX11でVittorioBertocciと話をしました。彼は、Shibで有効にできる「WS-Federation」というチェックボックスがあると言っていました。これにより、互換性が有効になります。WS-Fedはサービスプロバイダーではサポートされていますが、IDプロバイダーではサポートされていないことをクライアントから学びました。

コメントに応じて、この質問に詳細を補足させていただきます。

混乱を解消するために、いくつかの SAML 実装に関する質問を受けました ...

Java Web アプリに SSO を実装する必要があります。

1. そのためには、ホストに Shibboleth SP をインストールする必要がありますか? または、OpenSAML 経由で SP 機能を提供できますか?

2. 私は、shibboleth が OpenSAML と同じことをしているが、Web サーバー レベルでのみ行っていると想定していますが、OpenSAML はソフトウェア側でそれを行います。その仮定は正しいですか？

編集:したがって、shibboleth (Scott Cantor によると) は OpenSAML でビルドされています...私の仮定はまだ有効ですか?

1. OpenSAML を使用するには何が必要ですか? IdP URL と idP への登録だけですか?

2. ActiveDirectory/LDAP などの SP ディレクトリを提供する必要がありますか?

編集：答えてくれてありがとう、でも誰かが上記の質問に直接答えて詳しく説明してくれませんか...

許してください私はShibboleth/SAML2noobです。うまくいけば、これらは簡単な質問です。

最近、Shib /SAML2をAzureACSと統合できるかどうかを尋ねる投稿をしました。その答えから、ACSは使用できないと思いましたが、低レベルのWIF+SAML2拡張機能のCTPライブラリを使用して何かを実装しました。

関連する問題について、私はアフィリエイトの1つに電話して、InCommonFederationメンバーシップを使用してサービスプロバイダーとしてアプリを追加できるかどうか尋ねました。彼らは、MVC3WebロールをホストしているAzureマシンにShibbolethServiceProviderをインストールするかどうかを尋ねてきました。

彼らがこれに言及するまで、私はShibbolethServiceProviderインストーラーがあるとは思いもしませんでした。SAML2についてこれまで読んだすべてのことによると、私はmvc3Webの役割がサービスプロバイダーであるという印象を受けました。

では、Shibbolethサービスプロバイダーとは何ですか？それは何をするためのものか？Azureインスタンスにインストールすると、どのような価値が追加されますか？シボレスに対してSSOを行うには、これが必要ですか？または、純粋なsaml2を実行できますか？

各ロールインスタンスにインストールする必要があり、展開に時間がかかるため、インストールしないことをお勧めします。

SAML 2 IdP に対して認証を行う場合、Subject Name Identifier は何のためにあるはずですか? 各ユーザーのログインを追跡しますか?

私の SAML 2 サービス プロバイダー アプリケーションは、さまざまなユーザーについてこれらを追跡する必要があるかどうか疑問に思っています。それらは一時的なものであるため、ログインごとに異なる可能性があります (そのため、ユーザー アカウントにぶら下がっているコレクションを使用して追跡する必要があります)。

私たちは Shibboleth システム (OpenAthens LA 2.2) をインストールしており、ログイン プロセスを別のシステムである仮想学習環境と統合する方法を模索しています。

VLE をサービス プロバイダーとして登録し、ログイン プロセスが機能しているため、ユーザーは Shibboleth を介して VLE に認証され、資格情報を再度入力する必要なく、ユーザーが他の Shibboleth で保護されたリソースにアクセスできるようにするセッションが作成されます。これは私たちのためにも働いています。

ただし、次の 2 つの要件があります。

1. 「http://learn.example.ac.uk」のようなきちんとした覚えやすい URL で VLE を宣伝したいと考えています。
2. Shibboleth システムに障害が発生した場合に、VLE のネイティブ ログイン ページにユーザーを送信する必要があります (これは、ネットワーク機器によって監視されます)。

Shibboleth ログイン (具体的には VLE への、ターゲット パラメータによる) をトリガーする URL は非常に長いです。

https://vle.example.ac.uk/Shibboleth.sso/Login?entityID=https://shib.example.ac.uk/oala/metadata&target=https%3A%2F%2Fvle.example.ac.uk% 2FshibbolethSSO%2Flogin

ユーザーがhttp://learn.example.ac.ukを要求したときに、この長い URL にユーザーを送信するようにロード バランサーを構成する必要があるかどうか疑問に思っています(そして、Shibboleth システムが利用可能です)。Shibboleth が利用できない場合は、別の URL に転送できます。

これは、上記の長いリンクが URL である「ここをクリックして VLE にログインします」という単純なランディング ページを作成するよりも望ましい方法です。

私たちが望んでいることは達成可能ですか？他の Shibboleth ユーザーがどのようにユーザーをログイン ページに誘導したかを知りたいです。ユーザーがページをブックマークする可能性があることを懸念しています。これは、ユーザーがそのページに戻ったときに、VLE に戻らない一般的な Shibboleth ログイン ページに転送され、単に「セッション」を作成して混乱を招くことを意味します。

私のチームは Desire2Learn Valence を使い始めていますが、Shibboleth 認証が最初の API キー認証プロセスを狂わせているようです。

アプリ ID とキーはありますが、Valence 認証フォームから Shib ログイン (「レイク バレー大学」サンプルの場合のように直接ログインするのではなく) が送信され、Valence に戻ってプロセスを完了することはありません。 .

これが機能するように構成または変更する方法に関する提案はありますか?

Shibboleth ID プロバイダーから、ユーザー名と姓がすべて大文字で送信されます。IdP が送信する内容を制御することはできませんが、サービス プロバイダーのアプリケーションが全員の名前を叫んでいるように表示しないようにしたいと考えています。 

1. SP (私が管理している Ubuntu Linux サーバー) で、受信した属性をアプリケーションに渡す前に変更できますか?

2. もしそうなら、受け取った属性をTitle Caseに変換する最良の方法は何ですか?