Kebijakan SAMLAssertion

Halaman ini berlaku untuk Apigee dan Apigee Hybrid.

Lihat dokumentasi Apigee Edge.

Apa

• Autentikasi dan otorisasi masuk: Validasi kebijakan Pernyataan SAML
  Jenis kebijakan SAML memungkinkan proxy API memvalidasi pernyataan SAML yang dilampirkan ke permintaan SOAP masuk. Kebijakan SAML memvalidasi pesan masuk yang berisi pernyataan SAML yang ditandatangani secara digital, menolaknya jika tidak valid, dan menetapkan variabel yang memungkinkan kebijakan tambahan, atau layanan backend itu sendiri, untuk memvalidasi lebih lanjut informasi dalam pernyataan.
• Pembuatan token keluar: Kebijakan Buat Pernyataan SAML
  Jenis kebijakan SAML memungkinkan proxy API melampirkan pernyataan SAML ke permintaan XML keluar. Pernyataan tersebut kemudian tersedia untuk memungkinkan layanan backend menerapkan pemrosesan keamanan lebih lanjut untuk autentikasi dan otorisasi.

Kebijakan ini adalah Kebijakan yang dapat diperluas dan penggunaan kebijakan ini mungkin memiliki implikasi biaya atau penggunaan, bergantung pada lisensi Apigee Anda. Untuk mengetahui informasi tentang jenis kebijakan dan implikasi penggunaannya, lihat Jenis kebijakan.

Sampel

<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="soap">http://schemas.xmlsoap.org/soap/envelope/</Namespace>
        <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      </Namespaces>
      <XPath>/soap:Envelope/soap:Header/wsse:Security</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, within CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <AssertionXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</AssertionXPath>
    <SignedElementXPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</SignedElementXPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Referensi elemen

Membuat Pernyataan SAML

Memvalidasi Pernyataan SAML

Catatan penggunaan

Spesifikasi Security Assertion Markup Language (SAML) menentukan format dan protokol yang memungkinkan aplikasi bertukar informasi berformat XML untuk autentikasi dan otorisasi.

"Pernyataan keamanan" adalah token tepercaya yang menjelaskan atribut aplikasi, pengguna aplikasi, atau peserta lain dalam transaksi. Pernyataan keamanan dikelola dan digunakan oleh dua jenis entitas:

• Penyedia identitas: Membuat pernyataan keamanan atas nama peserta
• Penyedia layanan: Memvalidasi pernyataan keamanan melalui hubungan tepercaya dengan penyedia identitas

Platform API dapat bertindak sebagai penyedia identitas dan sebagai penyedia layanan. Layanan ini bertindak sebagai penyedia identitas dengan membuat pernyataan dan melampirkannya ke pesan permintaan, sehingga pernyataan tersebut tersedia untuk diproses oleh layanan backend. Layanan ini bertindak sebagai penyedia layanan dengan memvalidasi pernyataan pada pesan permintaan masuk.

Jenis kebijakan SAML mendukung pernyataan SAML yang cocok dengan spesifikasi SAML Core versi 2.0 dan spesifikasi WS-Security SAML Token Profile versi 1.0.

Membuat Pernyataan SAML

Pemrosesan kebijakan:

1. Jika pesan bukan XML, dan IgnoreContentType tidak disetel ke true, maka munculkan kesalahan.
2. Jika "Template" disetel, proses template seperti yang dijelaskan untuk kebijakan AssignMessage. Jika ada variabel yang tidak ada dan IgnoreUnresolvedVariables tidak ditetapkan, maka akan memunculkan kesalahan.
3. Jika "Template" tidak ditetapkan, buat pernyataan yang menyertakan nilai parameter Subjek dan Penerbit atau referensinya.
4. Menandatangani pernyataan menggunakan kunci yang ditentukan.
5. Tambahkan pernyataan ke pesan di XPath yang ditentukan.

Memvalidasi Pernyataan SAML

Pemrosesan kebijakan:

1. Kebijakan ini memeriksa pesan masuk untuk memverifikasi bahwa jenis media permintaan adalah XML, dengan memeriksa apakah jenis konten cocok dengan format text/(.*+)?xml atau application/(.*+)?xml. Jika jenis media bukan XML dan <IgnoreContentType> tidak disetel, kebijakan akan memunculkan kesalahan.
2. Kebijakan akan mengurai XML. Jika penguraian gagal, maka akan memunculkan kesalahan.
3. Kebijakan akan mengekstrak elemen yang ditandatangani dan pernyataan, menggunakan XPath masing-masing yang ditentukan (<SignedElementXPath> dan <AssertionXPath>). Jika salah satu jalur ini tidak menampilkan elemen, kebijakan akan memunculkan kesalahan.
4. Kebijakan akan memverifikasi bahwa Pernyataan sama dengan elemen bertanda tangan, atau merupakan turunan dari elemen bertanda tangan. Jika tidak benar, kebijakan akan memunculkan kesalahan.
5. Jika elemen <NotBefore> atau <NotOnOrAfter> ada dalam pernyataan, kebijakan akan memeriksa stempel waktu saat ini terhadap nilai-nilai ini, seperti yang dijelaskan dalam bagian 2.5.1 SAML Core.
6. Kebijakan ini akan menerapkan aturan tambahan untuk memproses "Kondisi" sebagaimana dijelaskan dalam bagian 2.5.1.1 SAML Core.
7. Kebijakan akan memvalidasi tanda tangan digital XML, menggunakan nilai <TrustStore> dan <ValidateSigner> seperti yang dijelaskan di atas. Jika validasi gagal, kebijakan akan memunculkan kesalahan.

Setelah kebijakan selesai tanpa menimbulkan kesalahan, developer proxy dapat memastikan hal berikut:

• Tanda tangan digital pada pernyataan valid dan ditandatangani oleh CA tepercaya
• Pernyataan ini valid untuk periode waktu saat ini
• Subjek dan penerbit pernyataan akan diekstrak dan ditetapkan dalam variabel alur. Kebijakan lain bertanggung jawab untuk menggunakan nilai ini untuk autentikasi tambahan, seperti memeriksa apakah nama subjek valid, atau meneruskannya ke sistem target untuk validasi.

Kebijakan lain, seperti ExtractVariables, dapat digunakan untuk mengurai XML mentah pernyataan untuk validasi yang lebih kompleks.

Variabel alur

Ada banyak informasi yang dapat ditentukan dalam pernyataan SAML. Pernyataan SAML itu sendiri adalah XML yang dapat diuraikan menggunakan kebijakan ExtractVariables dan mekanisme lainnya untuk menerapkan validasi yang lebih kompleks.

Referensi error

Bagian ini menjelaskan kode error dan pesan error yang ditampilkan serta variabel error yang ditetapkan oleh Apigee saat kebijakan ini memicu error. Informasi ini penting untuk diketahui jika Anda mengembangkan aturan error untuk menangani error. Untuk mempelajari lebih lanjut, lihat Yang perlu Anda ketahui tentang error kebijakan dan Menangani error.

Error saat deployment

Error ini dapat terjadi saat Anda men-deploy proxy yang berisi kebijakan ini.

Variabel error

Variabel ini ditetapkan saat error runtime terjadi. Untuk mengetahui informasi selengkapnya, lihat Yang perlu Anda ketahui tentang error kebijakan.

Contoh respons error

{
  "fault": {
    "faultstring": "GenerateSAMLAssertion[GenSAMLAssert]: Invalid media type",
    "detail": {
      "errorcode": "steps.saml.generate.InvalidMediaTpe"
    }
  }
}

Contoh aturan error

<FaultRules>
    <FaultRule name="invalid_saml_rule">
        <Step>
            <Name>invalid-saml</Name>
        </Step>
        <Condition>(GenerateSAMLAssertion.failed = "true")</Condition>
    </FaultRule>
</FaultRules>

Topik terkait

Mengekstrak variabel: Extract Variables policy