attributes - CAS 和 Shibboleth Integration 将主体名称(用户名)作为 SAML 中的属性发布

我觉得我已经在高低搜索了一个简单的配置:结果是空的。

我对 Shibboleth 完全陌生，虽然我已经与 CAS 合作过一点，但没有太紧张。我已经设置好了(按照以下指南: https://wiki.jasig.org/display/CASUM/Shibboleth-CAS+Integration )，以便 Shibboleth 重定向到 CAS 进行身份验证。这工作正常，一旦用户通过身份验证，他们将通过 Shibboleth 重定向，并发送 SAML 响应。我正在使用 https://sp.testshib.org 进行测试，它可以正确接收响应并显示页面。

我似乎无法弄清楚如何仅使用用于登录 CAS 的用户名发布一个简单的属性。我知道 Shibboleth 看到了它(从 idp-process.log)，但我不知道在 attribute-resolver.xml 和 attribute-filter.xml 中放什么来释放它。

当前的 SAML 响应如下所示:

<?xml version="1.0" encoding="UTF-8"?><saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_da56752846e00c2693ece2c486d7c870" IssueInstant="2012-11-16T14:08:07.570Z" Version="2.0">
   <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">https://<idpurl>/idp/shibboleth</saml2:Issuer>
   <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
      <ds:SignedInfo>
         <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
         <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
         <ds:Reference URI="#_da56752846e00c2693ece2c486d7c870">
            <ds:Transforms>
               <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
               <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
            </ds:Transforms>
            <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
            <ds:DigestValue>7OHKEiEQ0ZcPDcnt4B8PIGoLEfw=</ds:DigestValue>
         </ds:Reference>
      </ds:SignedInfo>
      <ds:SignatureValue>S3FZI+KpNf8wUYWMA96ccAj0Y5ebojB1xKHlixHWNEr4voqHOGSpBzxdui0IVtUwLEzj4RrDFdYarJaZj6ltzFV4hfNx5bN88zYQG6w9BBP9UybG+81Wrhii2O31AmRz2Y6XIqa72CeN2R4DKo70awn6FXIPLAcEKs+7dAG2lQ87VS3Wv126DghE/eGcMLW6+z9a3MxXtUFSmWYosaIbNREJn4mGO/uGzD27eeo6SNmvBx/BgVh7T2cOIbtD8b9OOZT8Urt0kZ2nsoCZHgp1T0V6ZgnE2TDvPTInrxzC5c4S+YOYZlB0ijMI6pk+PpJGshe7MVUcEO34Nn0I3i0OUw==</ds:SignatureValue>
      <ds:KeyInfo>
         <ds:X509Data>
            <ds:X509Certificate><!--Valid Certificate--></ds:X509Certificate>
         </ds:X509Data>
      </ds:KeyInfo>
   </ds:Signature>
   <saml2:Subject>
      <saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" NameQualifier="https://<idpurl>/idp/shibboleth" SPNameQualifier="https://sp.testshib.org/shibboleth-sp">_4b1a2780b2ce3db36ea7e7f6192b7108</saml2:NameID>
      <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
         <saml2:SubjectConfirmationData Address="<valid ip address>" InResponseTo="_aa4e23dd783eddb1be18ad224c26e7cf" NotOnOrAfter="2012-11-16T14:13:07.570Z" Recipient="https://sp.testshib.org/Shibboleth.sso/SAML2/POST"/>
      </saml2:SubjectConfirmation>
   </saml2:Subject>
   <saml2:Conditions NotBefore="2012-11-16T14:08:07.570Z" NotOnOrAfter="2012-11-16T14:13:07.570Z">
      <saml2:AudienceRestriction>
         <saml2:Audience>https://sp.testshib.org/shibboleth-sp</saml2:Audience>
      </saml2:AudienceRestriction>
   </saml2:Conditions>
   <saml2:AuthnStatement AuthnInstant="2012-11-16T14:08:07.554Z" SessionIndex="00568a153d3cccf9c17abf2c77a043ed8b74a74fe5e2c61000590269aa87f99a">
      <saml2:SubjectLocality Address="<valid ip address>"/>
      <saml2:AuthnContext>
         <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
      </saml2:AuthnContext>
   </saml2:AuthnStatement>
</saml2:Assertion>

我只需要一个如何设置的示例。我已经阅读了 wiki.shibboleth.net 上的所有文档，但似乎仍然无法理解。

非常感谢您的帮助，我知道这只是一个配置问题，但它让我的大脑感到愚蠢，我什至没有尝试与比 TestShib 更激烈的东西集成!

编辑:
我发现这个设置指南有部分帮助，我能够通过搜索事件目录将名称作为属性传递，但这不是一个合适的长期解决方案，因为 CAS 可以检查多个用户存储库，并且它不一定与这将检查以获取它的相同。我只想释放 ${requestContext.principalName} 作为属性。

有什么更好的想法吗？也许是静态连接器，但我不确定如何让它解析 ${requestContext.principalName}？

最佳答案

最后我想通了。在这里发布解决方案，供其他任何遇到过这个问题的人使用，并在应该很简单的细节沼泽中迷失。

在 Shibboleth 的 attribute-resolver.xml 文件中，我必须添加以下解析器:

<resolver:AttributeDefinition id="principal" xsi:type="PrincipalName" xmlns="urn:mace:shibboleth:2.0:resolver:ad">

    <resolver:AttributeEncoder
        xsi:type="SAML1String"
        xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
        name="urn:mace:dir:attribute-def:principal" />

    <resolver:AttributeEncoder
        xsi:type="SAML2String"
        xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
        name="urn:oid:1.3.6.1.4.1.5923.1.1.1.1"
        friendlyName="principal" />

</resolver:AttributeDefinition>

在 attribute-filter.xml 中，我需要添加以下过滤器:

    <AttributeFilterPolicy id="releaseBasicAttributesToAnyone">
        <PolicyRequirementRule xsi:type="basic:ANY"/>
        <AttributeRule attributeID="principal">
                <PermitValueRule xsi:type="basic:ANY" />
        </AttributeRule>
    </AttributeFilterPolicy>

如果您不想向每个 SP 发布本金，请更改您的策略要求规则。

令人惊讶的是，这么简单的事情似乎没有在任何地方清楚地记录下来。我浏览了 shibboleth 文档的时间比这应该花的时间更长，最后在某人发布的关于想要更改 PrincipalName 值的 google 群组帖子中找到了线索。

我希望这对其他人有帮助!

关于attributes - CAS 和 Shibboleth Integration 将主体名称(用户名)作为 SAML 中的属性发布，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/13418596/