发行注记

Red Hat Single Sign-On 7.5

用于 Red Hat Single Sign-On 7.5

Red Hat Customer Content Services

摘要

本指南包括 Red Hat Single Sign-On 发行注记

使开源包含更多

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。我们从这四个术语开始:master、slave、黑名单和白名单。由于此项工作十分艰巨,这些更改将在即将推出的几个发行版本中逐步实施。有关更多详情,请参阅我们的首席技术官 Chris Wright 提供的消息

第 1 章 Red Hat Single Sign-On 7.5.0.GA

1.1. 概述

红帽很荣幸地宣布,版本 7.5 版是红帽单点登录(RH-SSO)版本。RH-SSO 基于 Keycloak 项目,您可以通过根据 OpenID Connect、OAuth 2.0 和 SAML 2.0 等常用标准提供 Web SSO 功能来保护您的 Web 应用程序。RH-SSO 服务器充当基于 OpenID Connect 或基于 SAML 的身份供应商(IdP),允许您的企业用户目录或第三方 IdP 通过基于标准的安全令牌保护您的应用。

注意

Red Hat Single Sign-On for IBM Z 和 IBM Power Systems 只在 OpenShift 环境中被支持。不支持在 IBM Z 和 IBM Power Systems 上安装裸机安装。

以下注释适用于 RH-SSO 7.5 发行版本:

1.2. 新特性或改进的功能

1.2.1. 金融级 API、FAPI CIBA 和 Open Banking Brasil

红帽单点登录服务器提供对财务级 API (FAPI)的支持。Red Hat Single Sign-On 与 OpenID Connect 客户端发起的后端身份验证(CIBA)和 OpenBanking Brasil 兼容。CIBA ping 模式也存在支持。

要确保 Red Hat Single Sign-On 服务器验证您的客户端以更安全和 FAPI 兼容,您可以配置 FAPI 客户端策略。这些策略可确保安全最佳实践,如客户端 SSL 要求和安全重定向 URI。如需了解更多详细信息,请参阅 保护应用程序和服务指南中的 FAPI 部分。

1.2.2. 新帐户控制台

之前称为用户帐户服务的帐户控制台已被修改,现在默认帐户控制台在 Red Hat Single Sign-On 中。但是,如果您对用户帐户服务有自定义主题,则该控制台仍保留此版本的默认控制台。因此,您有时间将自定义主题更新为新的帐户控制台。

新控制台使用 GZip 优化工件下载。

1.2.3. 将登录主题升级到 PatternFly 4

Red Hat Single Sign-On 登录主题组件已升级到 PatternFly 4。PatternFly 3 与新版本同时运行,因此 PatternFly 3 组件可以共存。

此外,登录方案提供了更好的用户体验,您可以为自定义身份提供程序定义图标。详情请查看 服务器开发人员指南

1.2.4. 用户可以删除自己的帐户

您可以允许给定域中的用户通过帐户控制台删除自己的帐户。该功能由 Admin 控制台中的 Delete Account 操作启用。

1.2.5. Identity brokering sync-mode

使用 Identity Brokering Sync Mode,您现在可以控制用户配置集是否在第一次登录时更新,或者从外部身份提供程序进行每次登录时更新。您还可以覆盖各个映射程序中的此行为。

1.2.6. OpenID Connect / OAuth 2.0 的客户端会话超时

通常,SSO 会话持续数天甚至几个月,但单个客户端会话应该很短。现在,您可以为各个客户端配置一个单独的超时,并为域中的所有客户端配置默认超时。

您还可以配置客户端离线会话超时,它决定了离线令牌过期并无效前的最长时间。

1.2.7. OAuth 2.0 Token Revocation (RFC 7009)

对于将 Red Hat Single Sign-On 用作 OAuth 2.0 授权服务器的应用程序,您现在可以通过令牌撤销端点来撤销刷新令牌。

1.2.8. OAuth 2.0 设备授权授权(RFC 8628)

现在提供了对 OAuth 2.0 设备授权授权的支持。

1.2.9. OpenID Connect Back-channel logout

现在,支持 OpenID Connect Back-Channel Logout。

1.2.10. 离线会话的改进

离线会话预加载功能已改进,从而提高了性能。

1.2.11. 额外的改进

1.2.11.1. AccessTokenResponse 的自定义声明

现在,您可以在 AccessTokenResponse 中添加自定义声明。这是一个通用的功能增强,但它支持作为美国法规一部分的医疗供应商标准。

1.2.11.2. 支持身份代理的 PKCE

Red Hat Single Sign-On 现在可在代理到外部 OpenID Connect 身份提供程序时利用 PKCE。

1.2.11.3. 用户配置集 SPI 的改进并支持声明性配置

用户 Profile SPI 已被改进,可以更好地管理用户配置文件。这些改进包括通过 Admin 控制台配置用户配置集的支持。如需了解更多详细信息,请参阅 服务器管理指南

1.2.11.4. 在服务器到客户端通信的 SAML Artifact 绑定

Red Hat Single Sign-On 现在支持使用 SAML Artifact 绑定与客户端通信。客户端配置中提供了一个新的 Force Artifact Binding 选项。它使用工件信息来强制与客户端通信。如需了解更多详细信息,请参阅 服务器管理指南。请注意,在这个版本中,Red Hat Single Sign-On SAML 客户端适配器不支持 Artifact 绑定。

1.2.11.5. 默认角色处理改进

现在,默认角色在内部存储为新的复合角色,它们通常命名为 default-roles-<realmName>。之前域角色和客户端默认角色直接分配给新用户,以及通过 Identity Brokering 导入的用户。但是,复合角色被分配到它们,其他默认角色则被分配为有效的角色。这个更改提高了默认角色处理的性能,特别是大量客户端。现在,不再需要通过所有客户端。

1.2.11.6. 没有电子邮件密码策略

您可以使用 Not Email 策略来禁止密码与电子邮件地址相同。

1.2.11.7. 支持使用 http://127.0.0.1 的任何端口的重定向里面

http://localhost 在随机端口上启动 HTTP 服务器时,用作回调。最佳实践是使用 http://127.0.0.1 而不是 localhost。

1.2.12. 其他改进

  • 支持调用 Red Hat Single Sign-On JavaScript 适配器的应用程序初始操作。
  • 支持 AES 192 和 AES 256 算法用于签名和加密 ID 令牌。
  • 支持没有刷新令牌的 OAuth2 客户端凭证授权,且无用户会话。
  • 支持向 OAuth2 撤销端点发送访问令牌。
  • 支持配置最大活跃身份验证会话。每个浏览器会话设置为 300 个身份验证会话(浏览器选项卡)。
  • 支持 LDAPv3 密码修改操作,包括管理控制台能够从配置的 LDAP 服务器请求元数据,以查看它是否支持 LDAPv3 密码修改操作。
  • LDAP 组映射程序的命名空间支持。您可以在 Red Hat Single Sign-On 组的指定分支(命名空间)下映射 LDAP 中的组。以前 LDAP 中的组始终被添加为 Red Hat Single Sign-On 中的顶层组
  • 添加了对 SAML 身份提供程序发布的身份验证请求中的 AuthnContext 部分的支持。
  • 在评估过程中获取资源和策略的性能
  • 角色映射程序中的 OIDC 高级属性 一 增加了一个新的身份提供程序映射程序,它被添加为 SAML mapper (高级 Claim)到角色映射程序。新映射程序支持属性值和多个属性值的 regex。

1.3. 现有技术预览功能

以下功能仍处于技术预览状态:

  • 跨站点数据复制
  • RH-SSO Operator
  • 令牌交换
  • 精细授权权限
  • W3C Web 身份验证(WebAuthn)

1.4. 删除或已弃用的功能

这些功能在状态中发生了变化:

  • 在 Red Hat Enterprise Linux 6 (RHEL 6)上支持 Red Hat Single Sign-On (RH-SSO)已被弃用,RHEL 6 不支持 7.5 版本 RH-SSO。RHEL 6 在 2020 年 11 月 30 日进入 ELS 阶段,RH-SSO 依赖的 Red Hat JBoss Enterprise Application Platform (EAP) 在 EAP 7.4 版本中不再支持 RHEL 6。客户应在 RHEL 7 或 8 版本中部署 RH-SSO 7.5 升级。
  • Spring Boot Adapter 已被弃用,不会包含在 8.0 及更高版本的 RH-SSO 中。此适配器将在 RH-SSO 7.x 生命周期中维护。用户应迁移到 Spring Security,以便将其 Spring Boot 应用与 RH-SSO 集成。
  • 从 RPM 安装已弃用。Red Hat Single Sign-On 将继续为 7.x 产品生命周期提供 RPM,但不会提供下一个主要版本的 RPM。产品将继续从 ZIP 文件安装并在 OpenShift 上安装。
  • Eclipse OpenJ9 上的 OpenShift Red Hat Single Sign-On 已被弃用。但是,OpenShift 上的 Red Hat Single Sign-On 现在支持所有平台(x86、IBM Z 和 IBM Power Systems),如 Red Hat Single Sign-On for OpenShift 指南 中所述。有关此更改的详情,请参阅 PPC 和 s390x OpenShift 镜像中的 Java 更改
  • 授权服务 Drools 策略已被删除。
  • 通过 admin rest endpoint/console 上传脚本已弃用。它将在以后的发行版本中被删除。

1.5. 修复了问题

RH-SSO 7.4 和 7.5.0 之间解决了超过 1,400 个问题。因为 JIRA 过滤器只能显示 1,000 个问题,所以请查看以下两个固定问题列表:

1.6. 已知问题

此发行版本包括以下已知问题:

  • KEYCLOAK-18115 - Attempt 编辑 RHSSO 7.4.6 中拒绝的属性
  • KEYCLOAK-18338 - Attempt to update user account with configured SSSD 会导致内部服务器错误
  • KEYCLOAK-18994 - deleteExpiredClientSessions very slow on MariaDB

1.7. 支持的配置

客户门户网站 中提供了 RH-SSO Server 7.5 支持的功能和配置。

1.8. 组件版本

客户门户网站 中提供了 RH-SSO 7.5 支持的组件版本列表。

1.9. Red Hat OpenShift 的 Red Hat Single Sign-On Metering 标签

您可以在 Red Hat Single Sign-On pod 中添加 metering 标签,并使用 OpenShift Metering Operator 检查红帽订阅详情。

注意

不要将 metering 标签添加到 Operator 部署和管理的任何 pod 中。

Red Hat Single Sign-On 可使用以下 metering 标签:

  • com.redhat.component-name: Red Hat Single Sign-On
  • com.redhat.component-type: application
  • com.redhat.component-version: 7.5
  • com.redhat.product-name: "Red_Hat_Runtimes"
  • com.redhat.product-version: 2020/Q2

法律通告

Copyright © 2022 Red Hat, Inc.
根据 Apache 许可证(版本 2.0)授权(License");除非遵守许可证,您可能不能使用此文件。您可以在以下位置获取许可证副本
除非适用法律或同意编写,许可证下的软件将由"AS IS"BASIS 分发,WITHOUT WARRANTIES 或 CONDITIONS OF ANY KIND,可以是表达或表示的。有关许可证下的权限和限制的具体语言,请参阅许可证。