1. 对 SP 的主要 HTTP 请求.

   主体首先尝试使用 HTTP 用户代理（如浏览器）在 SP 访问受保护的资源。如果主体已签发了具有有效安全性上下文的 SAML 令牌，SP 将允许或拒绝主体。这是最后一步。否则，SP 将尝试查找用于身份验证请求的 IDP。

2. SP 确定 IDP.

   SP 查找支持 SP 的首选绑定的 IDP 及其端点。这允许 SP 向 IDP 发送身份验证请求。此过程的具体方式可能因实施而异。

3. 使用主体从 SP 向 IDP 发出身份验证请求.

   SP 确定 IDP 位置和端点后，SP 以 <AuthnRequest> 消息的形式发出身份验证请求，该消息将由用户代理向 IDP 主体发送。HTTP 重定向、HTTP POST 或 HTTP 工件 SAML 绑定可用于使用用户代理将消息传输到 IDP。

4. IDP 标识主体.

   身份验证请求通过主体发送到 IDP 后，主体将由 IDP 标识。识别方法不是通过 Web 浏览器单点配置文件具体定义，可以通过多种方式完成，例如使用 FORM 进行身份验证，使用现有的 会话信息、kerberos 身份验证等。

5. IDP 问题响应 SP.

   确定了主体后，IDP 以 <Response> 信息的形式发出一个响应，以返回 SP，以便使用用户代理授予或拒绝主体访问。此消息将至少包含一个身份验证断言，也可用于指示错误。HTTP POST 或 HTTP 工件可用于传输此消息，但由于大多数用户代理的 URL 长度限制而无法使用 HTTP 重定向。如果用户代理发起基于 IDP 的流（例如，尝试直接访问 IDP 而不是 SP），则此过程从这一步开始。如果成功，HTTP POST 或 HTTP Artifact 将发送到一个位置，该位置在 IDP 中预先配置。

6. SP 允许或拒绝访问主体.

   SP 收到 Response 后，可以通过创建安全上下文或拒绝访问或执行自己的错误处理，向主体授予所请求资源的访问权限。

1. 由会话参与者发布到 IDP 的注销.

   会议参与者，如服务提供商或其他依赖方，终止其自身与主体的会话，并以 <LogoutRequest> 信息的形式向 IDP 发送一个最初为主体发布安全断言的 IDP。此请求可以直接在 IDP 和依赖方之间发送，或者通过使用主体的用户代理作为传递间接发送。

2. IDP 标识会话参与者.

   旦 IDP 收到注销请求，它将使用该请求来确定哪些会话要终止依赖方，包括作为会话授权或会话参与者 IDP 拥有的任何会话。对于每个会话，IDP 向依赖方发出注销请求，并等待来自双方的注销响应，然后再向原始会话参与者发出新的注销响应。如果在 IDP 上启动全局 Logout Profile 流，则流程从此步骤开始，其他一些机制则用于确定会话和 SP。

3. IDP 发布的注销.

   在 IDP 确定所有会话和相关的依赖方后，它会以 <LogoutRequest> 信息的形式向每个依赖方发送 Logout 请求，并等待 Logout Response。这些请求可以在 IDP 和依赖方之间直接发送，或者间接通过主体的用户代理发送。

4. 注销会议参与者或授权机构发出的回复.

   每个依赖方（包括 IDP 本身）会尝试根据 Logout Request 中的 IDP 指示终止会话，并以 <LogoutResponse> 消息的形式返回 Logout Response，返回 IDP。与注销请求一样，可以将响应直接在依赖方和 IDP 之间发出，或者间接通过主体的用户代理发出。

5. IDP 发布对原始会话参与者的注销响应.

   从依赖方收到所有注销响应后，IDP 会以 <LogoutResponse> 信息的形式发送一个新的注销响应，返回请求注销的原始会话参与者。如同此流程的其他部分一样，此响应可直接在 IDP 和会话参与者之间传递，或者间接通过主体的用户代理进行传递。如果在 IDP 上发起 Logout Request，则省略这一步。

1. 为 IDP 创建安全域。

   IDP 处理为其凭证带来挑战的主体，处理该主体的验证和授权，并根据结果发出适当的 SAML v2 安全断言。这需要使用安全域配置身份存储。创建此安全域和身份存储的唯一要求是其已正确定义了身份验证和授权机制。这意味着，可以使用许多不同的身份存储 SAS-svc（如属性文件、数据库或 LDAP全部）及其关联的登录模块来支持 IDP 应用。有关安全域的更多信息，请参阅 JBoss EAP 安全架构指南中的安全 https://access.redhat.com/documentation/en-us/red_hat_jboss_enterprise_application_platform/7.3/html-single/security_architecture/#security_domains 域部分。

   以下示例通过属性文件使用简单的 UsersRoles 登录模块。

   用于创建安全域的管理 CLI 命令

   /subsystem=security/security-domain=idp:add(cache-type=default)
   
   /subsystem=security/security-domain=idp/authentication=classic:add
   
   /subsystem=security/security-domain=idp/authentication=classic/login-module=UsersRoles:add(code=UsersRoles,flag=required,module-options=[usersProperties=${jboss.server.config.dir}/idp-users.properties,rolesProperties=${jboss.server.config.dir}/idp-roles.properties])
   
   reload

   UsersRoles login 模块利用属性文件来存储用户/密码和用户/角色信息。有关 UsersRoles 模块的更多信息，请参阅 JBoss EAP 登录模块参考。在本例中，属性文件包含以下内容：

   idp-users.properties

   Eric=samplePass
   Alan=samplePass

   idp-roles.properties

   Eric=All
   Alan=

2. 为 IDP 配置 web.xml 文件。

   IDP 的 web.xml 文件必须包含以下内容：

   • 带有 < web-resource-collection> 的 <security-constraint >，其中包含一个 <url-pattern>，它映射到安全区域的 URL 模式。另外，<security-constraint> 也可以包含 <auth-constraint> 来 替代允许的角色。
   • 为 FORM 身份验证 配置 <login-config>。
   • 如果在 <auth-constraint> 中指定了任何角色，则应在 <security-role> 中定义这些角色。
   • （可选）登录表单使用的资源（如映像和样式）可以通过不被保护的额外安全性约束来指定，以便在身份验证之前访问这些资源，例如在登录页面上。

   <security-constraint> 和 <security-role> 元素可让管理员根据 URL 模式和角色设置受限或不受限制的区域。这允许保护或不受保护的资源。

   <login-config> 标签定义 IDP 在验证用户时使用的登录和错误页面。

   web.xml 文件示例：

   <web-app>
     <display-name>IDP</display-name>
     <description>IDP</description>
     <!-- Define a security constraint that gives unlimited access to images -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>Images</web-resource-name>
         <url-pattern>/images/*</url-pattern>
       </web-resource-collection>
     </security-constraint>
     <!-- Define a security constraint that requires the All role to access resources -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>IDP</web-resource-name>
         <url-pattern>/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>All</role-name>
       </auth-constraint>
     </security-constraint>
     <!-- Define the Login Configuration for this Application -->
     <login-config>
       <auth-method>FORM</auth-method>
       <realm-name>IDP Application</realm-name>
       <form-login-config>
         <form-login-page>/jsp/login.jsp</form-login-page>
         <form-error-page>/jsp/error.jsp</form-error-page>
       </form-login-config>
     </login-config>
     <!-- Security roles referenced by this web application -->
     <security-role>
       <description>The role that is required to log in to the IDP Application</description>
       <role-name>All</role-name>
     </security-role>
   </web-app>

   注意

   建议应用中定义欢迎页面。默认情况下，JBoss EAP 将查找名为 index.jsp 的文件，但这可以在 web.xml 中使用 <welcome-file-list> 进行配置。

   login.jsp 文件示例：

   <html>
     <head></head>
     <body>
       <form id="login_form" name="login_form" method="post" action="j_security_check" enctype="application/x-www-form-urlencoded">
         <center> <p>Welcome to the <b>IDP</b></p> <p>Please login to proceed.</p> </center>
         <div style="margin-left: 15px;">
           <p> <label for="username">Username</label> <br /> <input id="username" type="text" name="j_username"/> </p>
           <p> <label for="password">Password</label> <br /> <input id="password" type="password" name="j_password" value=""/> </p>
           <center> <input id="submit" type="submit" name="submit" value="Login"/> </center>
         </div>
       </form>
     </body>
   </html>

   error.jsp 文件示例：

   <html>
     <head></head>
     <body>
       <p>Login failed, please go back and try again.</p>
     </body>
   </html>

3. 为 IDP 配置身份验证器。

   身份验证器负责用户身份验证，以及发布和验证 SAML v2 安全断言。通过定义要在验证和授权主体时使用的安全域（请参阅第 1 步），验证器的一部分已在 jboss-web.xml 文件中配置。您还必须确保 web.xml 中指定了 <login-config> ，并且已声明必要的依赖项。

   jboss-web.xml 文件必须具有以下内容：

   • <security-domain>，用于指定用于身份验证和授权的安全域。

   jboss-web.xml 文件示例

   <jboss-web>
     <security-domain>idp</security-domain>
     <context-root>identity</context-root>
   </jboss-web>

4. 声明 IDP 所需的依赖关系。

   Web 应用充当 IDP 要求在 jboss-deployment-structure.xml 中定义依赖项，以便能够找到 org.picketlink 类。JBoss EAP 提供所有必需的 org.picketlink 和相关类，应用程序只需要将其声明为使用它们的依赖项。

   使用 jboss-deployment-structure.xml 进行 Declare 依赖项

   <jboss-deployment-structure>
     <deployment>
       <dependencies>
         <module name="org.picketlink" services="import"/>
       </dependencies>
     </deployment>
   </jboss-deployment-structure>

   注意

   在之前的 JBoss EAP 版本中，您已声明过同样的依赖关系，但会声明一个 valve 以安装 SAML 身份验证器。随着 JBoss EAP 7 中 Undertow 的引入，您现在使用 services="import" 来安装 SAML 身份验证器。

5. 为 IDP 创建 和配置 picketlink.xml 文件。

   picket link.xml 文件负责 Authenticator 的行为，并在应用的启动时加载。

   该文件必须至少包含以下元素：

   • <PicketLinkIDP> 定义 IDP 的 URL、使用 <IdentityURL> 和 IDP 信任的任何主机。
   • <Handlers> 定义处理 SAML 请求和响应所需的一组处理程序。

   picketlink.xml 文件示例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1">
       <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
       <Trust>
         <Domains>localhost,example.com</Domains>
       </Trust>
     </PicketLinkIDP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
     </Handlers>
   </PicketLink>

   警告

   处理程序通过责任链来实施，每个处理程序按照 selectet link.xml 定义的顺序执行请求和响应的逻辑。务必要注意处理程序的配置顺序。

   默认情况下，optetlink.xml 位于 IDP Web 应用的 WEB-INF 目录中。不过，可以配置应用程序外部的 picket link.xml 的自定义路径。当一个或多个 JBoss EAP 实例的多个应用共享相同的 picket link.xml 配置时，这很有用。

6. 可选： 为 picket link.xml设置自定义位置

   您可以使用 CONFIG_FILE 参数为 picketlink.xml 指定自定义位置。这可以通过在 web.xml 中添加 <context-param> 元素来完成。

   使用 CONFIG_FILE 参数

   <context-param>
     <param-name>CONFIG_FILE</param-name>
     <param-value>/path/to/picketlink.xml</param-value>
   </context-param>

   您还可以使用 org.picketlink.federation.saml.CONFIG_PROVIDER 参数来指定自定义配置供应商。这可让您创建一个扩展 org.picketlink.identity.federation.web.util.SAMLConfigurationProvider 的自定义实现，以提供自己的配置逻辑。

   使用 org.picketlink.federation.saml.CONFIG_PROVIDER Parameter

   <context-param>
     <param-name>org.picketlink.federation.saml.CONFIG_PROVIDER</param-name>
     <param-value>MyConfigurationProvider</param-value>
   </context-param>

   注意

   显示的管理 CLI 命令假定您在运行 JBoss EAP 单机服务器。有关将管理 CLI 用于 JBoss EAP 受管域的更多详细信息，请参见 JBoss EAP管理 CLI 指南。

1. 为 SP 配置安全域.

   由于 IDP 处理用户的凭据挑战并发布 SAML v2 安全断言，SP 负责验证这些断言。仍然需要安全域才能执行此验证，但身份存储则不需要。在这种情况下，SP 的安全域必须使用 SAML2LoginModule。

   用于添加安全域的管理 CLI 命令

   /subsystem=security/security-domain=sp:add(cache-type=default)
   
   /subsystem=security/security-domain=sp/authentication=classic:add
   
   /subsystem=security/security-domain=sp/authentication=classic/login-module=org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule:add(code=org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule,flag=required)
   
   reload

   警告

   SAML2LoginModule 仅用于使用 PicketLink 和 SAML 的应用，且不应在没有 PicketLink Service Provider Undertow ServletExtension(org.picketlink.identity.federation.bindings.wildfly.sp.SPServletExtension)的情况下使用。这样做会带来潜在的安全风险，因为 SAML2LoginModule 或 SAML2CommonLoginModule 将始终接受 EMPTY_STR 的默认密码。例如，如果 SP 应用中没有安装 PicketLink Service Provider Undertow ServletExtension，也会发生这种情况。在为 JBoss EAP 配置 SP 应用时，PicketLink Service Provider Undertow ServletExtension 会自动安装。如果 SAML2LoginModule 与其他登录模块堆叠时，也会发生这种情况：

   <security-domain name="sp" cache-type="default">
     <authentication>
       <login-module code="org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule" flag="optional">
         <module-option name="password-stacking" value="useFirstPass"/>
       </login-module>
       <login-module code="UsersRoles" flag="required">
         <module-option name="usersProperties" value="users.properties"/>
         <module-option name="rolesProperties" value="roles.properties"/>
         <module-option name="password-stacking" value="useFirstPass"/>
       </login-module>
     </authentication>
   </security-domain>

   SAML2LoginModule 用于根据断言为用户构建安全上下文。PicketLink SAML Authenticator，由 PicketLink Service Provider Undertow ServletExtension(org.picketlink.identity.federation.bindings.wildfly.sp.SPServletExtension)使用 SAML2LoginModule，并允许将身份验证决策延迟到 IDP， 它在 SP 的 picket link.xml 中配置。

   验证器负责根据安全断言（在本例中为 SAML 断言）验证由 IDP 颁发的主体。它们截获向应用发出的每个请求，检查请求中是否存在 SAML 断言，验证断言，执行主体的 SAML 特定验证，并在请求的应用中创建主体的安全上下文。

   身份验证器的一部分在 jboss-web.xml 文件中配置，方法是定义要在身份验证和授权主体时使用的安全域。您还必须确保在 web.xml 中指定 <login-config> 并声明必要的依赖项，这在后续步骤中完成。

   SP 的 jboss-web.xml 文件必须具有以下内容：

   • <security-domain>，用于指定用于身份验证和授权的安全域。

   jboss-web.xml 文件示例

   <jboss-web>
     <security-domain>sp</security-domain>
     <context-root>sales-post</context-root>
   </jboss-web>

2. 为 SP 配置 web.xml 文件。

   SP 的 web.xml 文件必须包含以下内容：

   • 带有 < web-resource-collection> 的 <security-constraint >，其中包含一个 <url-pattern>，它映射到安全区域的 URL 模式。另外，<security-constraint> 也可以包含 <auth-constraint> 来 替代允许的角色。
   • 如果在 <auth-constraint> 中指定了任何角色，这些角色应在 <security-role> 中定义。
   • 带有 < auth-method> 指定 FORM 身份验证 的 <login-config >。SAML 验证器需要此项。

   web.xml 文件示例

   <web-app>
     <display-name>SP</display-name>
     <description>SP</description>
     <!-- Define a Security Constraint on this Application -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>SP</web-resource-name>
         <url-pattern>/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>All</role-name>
       </auth-constraint>
     </security-constraint>
     <!-- Security roles referenced by this web application -->
     <security-role>
       <description> The role that is required to log in to the SP Application </description>
       <role-name>All</role-name>
     </security-role>
     <!-- Define the Login Configuration for this Application -->
     <login-config>
       <auth-method>FORM</auth-method>
     </login-config>
   </web-app>

   注意

   建议您在应用中定义一个欢迎页面。默认情况下，JBoss EAP 会查找名为 index.jsp 的文件，但可以使用 web.xml 中的 <welcome-file-list> 进行配置。

   注销过程会尝试重定向主体以在成功注销时重定向 logout.jsp。确保此文件在应用的根目录中定义。

3. 声明 SP 所需的依赖关系。

   Web 应用充当 SP 要求在 jboss-deployment-structure.xml 中定义依赖项，以便能够找到 org.picketlink 类。JBoss EAP 提供所有必需的 org.picketlink 和相关类，应用程序只需要将其声明为使用它们的依赖项。

   使用 jboss-deployment-structure.xml 进行 Declare 依赖项

   <jboss-deployment-structure>
     <deployment>
       <dependencies>
         <module name="org.picketlink" services="import"/>
       </dependencies>
     </deployment>
   </jboss-deployment-structure>

   注意

   在之前的 JBoss EAP 版本中，您已声明过同样的依赖关系，但会声明一个 valve 以安装 SAML 身份验证器。随着 JBoss EAP 7 中引入 Undertow，您无需使用 PicketLink SAML Authenticators 手动配置部署。现在，当您定义使用 services="import" 和 org.picketlink 依赖项时会自动配置它们。您必须声明此配置，才能为您的部署启用 SAML。

4. 为 SP 创建和配置 picketlink.xml 文件.

   picketlink.xml 文件负责 Authenticator 的行为，并在应用的启动时加载。

   该文件必须至少包含以下元素：

   • <PicketLinkSP> 定义 IDP 的 URL(<IdentityURL>)和 SP(<ServiceURL>)的 URL。
   • <Handlers> 定义处理 SAML 请求和响应所需的一组处理程序。

   picketlink.xml 文件示例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" BindingType="POST">
       <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
       <ServiceURL>${sales-post.url::http://localhost:8080/sales-post/}</ServiceURL>
     </PicketLinkSP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
     </Handlers>
   </PicketLink>

   注意

   不推荐使用 SP，但也可以将 SP 配置为使用 HTTP/REDIRECT，方法是将 BindingType="POST" 更改为 BindingType="REDIRECT"。

   警告

   处理程序通过责任链来实施，每个处理程序按照 selectet link.xml 定义的顺序执行请求和响应的逻辑。务必要注意处理程序的配置顺序。

   默认情况下，optetlink.xml 位于 SP Web 应用的 WEB-INF 目录中；但是，可以配置应用程序外部的 picket link.xml 的自定义路径。当一个或多个 JBoss EAP 实例的多个应用共享相同的 picket link.xml 配置时，这很有用。

5. 可选： 为 picket link.xml 设置自定义位置。

   您可以使用 CONFIG_FILE 参数为 picketlink.xml 指定自定义位置。这可以通过在 web.xml 中添加 <context-param> 元素来完成。

   使用 CONFIG_FILE 参数

   <context-param>
     <param-name>CONFIG_FILE</param-name>
     <param-value>/path/to/picketlink.xml</param-value>
   </context-param>

   您还可以使用 org.picketlink.federation.saml.CONFIG_PROVIDER 参数来指定自定义配置供应商。这可让您创建一个扩展 org.picketlink.identity.federation.web.util.SAMLConfigurationProvider 的自定义实现，以提供自己的配置逻辑。

   使用 org.picketlink.federation.saml.CONFIG_PROVIDER Parameter

   <context-param>
     <param-name>org.picketlink.federation.saml.CONFIG_PROVIDER</param-name>
     <param-value>MyConfigurationProvider</param-value>
   </context-param>

   注意

   显示的管理 CLI 命令假定您在运行 JBoss EAP 单机服务器。有关将管理 CLI 用于 JBoss EAP 受管域的更多详细信息，请参见 JBoss EAP管理 CLI 指南。

演练

1. 访问 SP 上受保护资源的常见尝试。
2. SP 对主体执行检查。如果主体尚未通过身份验证，则需要将其重定向到 IDP。如果已通过身份验证，则跳过所有其他步骤并执行最后一步。
3. SP 查找 IDP，并使用主体的浏览器向 IDP 发出身份验证请求。
4. IDP 会尝试使用配置的身份存储来验证主体，例如，通过登录页面向他们挑战。
5. 在主体由 IDP 标识后（例如成功登录后），IDP 会使用主体的浏览器向 SP 发出包含 SAML v2 断言的 SAML v2 断言的响应。
6. SP 根据这些断言中包含的信息，对主体的安全断言进行检查，SP 允许或拒绝访问请求的资源。

1. 配置 picketlink.xml。

   在 picket link.xml 中添加 SAML2LogOutHandler。

2. 创建 logout.jsp 页面。

   作为注销过程的一部分，用户重定向到位于服务提供商应用的根目录中的 logout.jsp 页面。确保已创建了此页面。

   logout.jsp 示例

   <html>
     <head></head>
     <body>
       <p>You have successfully logged out.</p>
     </body>
   </html>

3. 为 SP 配置全局注销配置文件链接。

   使用 GLO=true 作为 SP 资源链接中的 URL 参数来启动全局注销配置文件进程。

   Logout Link 示例

   <a href="?GLO=true">Click to log out</a>

1. 更新扩展。

   在 JBoss EAP 配置文件、用于单机实例的 standalone.xml 或 域的 domain.xml 中，添加 org.wildfly.extension.picketlink 扩展：

   <extensions>
     ...
     <extension module="org.wildfly.extension.picketlink"/>
     ...
   </extensions>

2. 添加子系统。

   在 JBoss EAP 配置文件（用于 独立实例或 域的 domain.xml ）的 standalone.xml 中，添加 picketlink-federation 子系统：

   <profile>
     ...
     <subsystem xmlns="urn:jboss:domain:picketlink-federation:2.0"/>
      ...
   </profile>

   注意

   也可以在 EAP_HOME/docs/examples/configs/standalone-picketlink.xml 中找到配置示例。

1. 首先添加和配置 HTTPS 安全域。配置 HTTPS 安全域后，在 undertow 子系统中配置 https-listener 来引用安全域：

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-path=identity.jks, keystore-relative-to=jboss.server.config.dir, keystore-password=password1, alias=appserver)
   
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=security-realm, value=HTTPSRealm)
   
   run-batch

   警告

   红帽建议显式禁用 SSLv2、SSLv3 和 TLSv1.0，以便在所有受影响的软件包中明确禁用 TLSv1.1 或 TLSv1.2。

2. 重新启动 JBoss EAP 实例，使更改生效。

1. 启用 加密 和支持系统.

   要启用加密，必须更新 <PicketLinkIDP> 和 <PicketLinkSP>。

   对于 IDP，将 <PicketLinkIDP> 中的 Encrypt 和 SupportsSignatures 属性 添加或更新为 true：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" Encrypt="true" SupportsSignatures="true">
       ...
     </PicketLinkIDP>
   </PicketLink>

   对于 SP，添加或更新 <PicketLinkSP> 中的 SupportsSignatures 属性 为 true：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkSP>
   </PicketLink>

2. 添加处理程序.

   此外，处理器必须添加到 <Handlers>。

   对于 IDP，将 SAML2EncryptionHandler 和 SAML2SignatureValidationHandler 添加到 picketlink.xml 文件中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2EncryptionHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   对于 SP，将 SAML2SignatureGenerationHandler 和 SAML2SignatureValidationHandler 添加到 picketlink.xml 文件中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   警告

   处理程序通过责任链来实施，每个处理程序按照 selectet link.xml 定义的顺序执行请求和响应的逻辑。务必要注意处理程序的配置顺序。

   SAML2SignatureGenerationHandler 不能在与 SAML2EncryptoinHandler 相同的链中配置。这将导致 SAML 消息签名多次。

3. 配置密钥提供程序.

   最后，必须将 <KeyProvider> 元素添加到 BOTH picket link.xml 文件中。此元素提供用于访问用于加密和解密安全断言的 Java 密钥存储的位置和凭据。有关生成 Java 密钥存储的示例，请参阅 JBoss EAP如何配置服务器安全指南 。

   对于 IDP，该元素应添加到 <PicketLinkIDP> 中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" Encrypt="true" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
         <ValidatingAlias Key="sp1.example.com" Value="servercert" />
         <ValidatingAlias Key="sp2.example.com" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkIDP>
     ...
   <PicketLink>

   对于 SP，该元素应添加到 <PicketLinkSP> 中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkSP>
   </PicketLink>

   注意

   为了正确加密和解密断言，IDP 需要生成签名，SP 需要验证这些签名并确定签名的来源。这通过 <ValidatingAlias> 元素来完成。对于受信任的每个可信服务器/域，需要有一个 <ValidatingAlias&gt;，这是 <Trust> 元素中的每个条目。SPS 需要 为每个包含 IDP 的服务器/域都有一个 <ValidatingAlias>。

1. 启用 SupportsSignatures。

   要启用数字签名，必须更新 <PicketLinkIDP> 和 <PicketLinkSP> 元素。

   对于 IDP 和 SP，添加或更新 <PicketLinkSP> 中的 SupportsSignatures 属性 为 true：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkIDP>
   </PicketLink>

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkSP>
   </PicketLink>

2. 添加处理程序.

   此外，处理器必须添加到 <Handlers>。

   对于 IDP 和 SP，将 SAML2SignatureGenerationHandler 和 SAML2SignatureValidationHandler 添加到 picketlink.xml 文件中：

   IDP picketlink.xml

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   SP picketlink.xml

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   警告

   处理程序通过责任链来实施，每个处理程序按照 selectet link.xml 定义的顺序执行请求和响应的逻辑。务必要注意处理程序的配置顺序。

   SAML2SignatureGenerationHandler 不能在与 SAML2EncryptionHandler 相同的链中配置。这将导致 SAML 消息签名多次。

3. 配置密钥提供程序.

   最后，必须将 <KeyProvider> 元素添加到 BOTH picket link.xml 文件中。此元素提供访问用于签署安全断言的 Java 密钥存储的位置和凭据。有关生成 Java 密钥存储的示例，请参阅 JBoss EAP如何配置服务器安全指南 。

   对于 IDP，该元素应添加到 <PicketLinkIDP> 中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
         <ValidatingAlias Key="sp1.example.com" Value="servercert" />
         <ValidatingAlias Key="sp2.example.com" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkIDP>
     ...
   <PicketLink>

   对于 SP，该元素应添加到 <PicketLinkSP> 中：

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkSP>
   </PicketLink>

   注意

   为了正确加密和解密断言，IDP 需要生成签名，SP 需要验证这些签名并确定签名的来源。这通过 <ValidatingAlias> 元素来完成。对于受信任的每个可信服务器/域，需要有一个 <ValidatingAlias&gt;，这是 <Trust> 元素中的每个条目。SPS 需要 为每个包含 IDP 的服务器/域都有一个 <ValidatingAlias>。

1. 配置所有身份提供程序。

   有关设置身份提供程序的详情，请参阅设置 IDP 部分。

2. 配置 WEB-INF/idpmap.properties 文件。

   您需要创建一个 WEB-INF/idpmap.properties 文件，该文件使用 name=url 列出所有可用身份供应商。

   WEB-INF/idpmap.properties示例

   Domain=http://localhost:8080/idp/
   Domain-Alt=http://localhost:8080/idp-alt/

3. 创建帐户选择者登录页面。

   要让用户选择要进行身份验证的身份提供商，您必须创建一个帐户选择者登录页面，并将其包含在您的服务提供商中。此页面应包含指向您希望允许其进行身份验证的所有身份供应商的链接。

   accountChooser.html示例

   <html>
     <head>...</head>
     <body>
       <h1>Account Chooser</h1>
       <ul>
         <li><a href="?idp=Domain">Domain</a>
         <li><a href="?idp=Domain-Alt">Domain Alt</a>
       </ul>
     </body>
   </html>

4. 在 picket link.xml 中配置 IdentityURL 元素。

   您还需要在 picket link.xml 中配置 IdentityURL 元素来引用帐户选择器登录页面。有关为服务提供商配置其余 picketlink.xml 的详情，请参考 设置 SP 部分。

   picket link.xml示例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" BindingType="REDIRECT">
       <IdentityURL>
         <Provider Page="/accountChooser.html"/>
       </IdentityURL>
       ...
     </PicketLinkSP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       ...
     </Handlers>
   </PicketLink>

   您可以使用 Provider 元素中提供的属性为动态帐户选择器配置附加选项。

   表 2.4. Provider Element Attributes

   选项	类型	默认值	描述
   页面	字符串	/accountChooser.html	用于列出不同 IDP 帐户的 HTML/JSP 页面名称。
   过期	整数	-1	Cookie 到期时间以秒为单位。默认为 -1，这意味着 Cookie 在浏览器关闭时过期。
   DefaultURL	字符串		默认 IDP 的 URL。
   域	字符串		发送到用户的浏览器的 cookie 的域名。
   类型	字符串		用于替换默认实现的 IDP 映射的完全限定实施名称。此实现必须实施 org.picketlink.identity.federation.web.config.IdentityURLConfigurationProvider。默认实施使用 SP Web 应用程序中的 WEB-INF/idpmap.properties 文件。

   重要

   不支持使用 picket link-federation 子系统配置动态帐户选择器。