Spring Плагин безопасности SAML - ни один хостинг-провайдер не настроил исключение

Я пытаюсь интегрировать SSO SAML с Spring безопасностью с помощью расширения wma5 w260 безопасности SAML. Раньше мне удалось запустить доказательство концепции, которое было найдено здесь: https://github.com/vdenotaris/spring-boot-security-saml-sample. К сожалению, после переноса конфигурации в мой проект она работает некорректно.

После анализа журналов я выяснил, что мое приложение (SP) правильно загружает метаданные IdP из предоставленного URL. Однако, пытаясь загрузить метаданные моего SP, попробовав https://localhost:8443/saml/metadata в браузере, выдается следующее исключение:

После отладки я не смог понять, почему Spring не может определить идентификатор объекта моего приложения. Я настраиваю его так:

Конечно, свойство saml.entity-id правильно загружено из моей конфигурации. Конфигурация всей безопасности находится здесь: https://gist.github.com/mc-suchecki/671ecb4d5ae4bae17f81

Порядок фильтров правильный - фильтр генератора метаданных находится перед фильтром SAML. Я не уверен, что это релевантно - я полагаю, что нет, но мое приложение не использует Spring Boot - и примерное приложение (источник конфигурации).

Ответы

Ответ 1

Я нашел проблему на этой неделе. Возникла проблема с фильтрами. Одним из методов было создание "samlFilter", например:

public FilterChainProxy samlFilter() throws Exception {
    List<SecurityFilterChain> chains = new ArrayList<SecurityFilterChain>();
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/login/**"), samlEntryPoint()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/logout/**"), samlLogoutFilter()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/metadata/**"),
        metadataDisplayFilter()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSO/**"),
        samlWebSSOProcessingFilter()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SSOHoK/**"),
        samlWebSSOHoKProcessingFilter()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/SingleLogout/**"),
        samlLogoutProcessingFilter()));
    chains.add(new DefaultSecurityFilterChain(new AntPathRequestMatcher("/saml/discovery/**"), samlIDPDiscovery()));
    return new FilterChainProxy(chains);
}

После этого другой метод устанавливал целую цепочку фильтров для Spring, например:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.httpBasic().authenticationEntryPoint(samlEntryPoint());
    http.csrf().disable();
    http.addFilterBefore(metadataGeneratorFilter(), ChannelProcessingFilter.class)
        .addFilterAfter(samlFilter(), BasicAuthenticationFilter.class);
    http.authorizeRequests().antMatchers("/").permitAll().antMatchers("/error").permitAll()
        .antMatchers("/saml/**").permitAll().anyRequest().authenticated();
    http.logout().logoutSuccessUrl("/");
}

Это было совершенно правильно. Однако, когда я запускал приложение с использованием сервера Jetty, я пытался подключить только "samlFilter" к контексту приложения. Из-за этого "metadataGeneratorFilter", который должен быть до "metadataDisplayFilter", вообще не был добавлен в цепочку фильтров. Когда я сменил 'samlFilter' на 'springSecurityFilter', все начало работать. Это было нелегко найти из-за моего нестандартного использования Jetty.

Благодарим за помощь!

Ответ 3

В MetadataGenerator entityId - это общий ключ, который вы используете для связи с вашим IDP, к которому ваше приложение хочет получить к нему доступ. На стороне IDP есть samlConfiguration, где вам нужно ввести тот же объект entityId, чтобы ваше приложение могло получить доступ к пользователям IDP.

<bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter">
<constructor-arg>
    <bean class="org.springframework.security.saml.metadata.MetadataGenerator">              
        <property name="entityId" value="****"/>
        <property name="extendedMetadata">
            <bean class="org.springframework.security.saml.web.MyExtendedMetadata">
                <property name="signMetadata" value="true"/>                        
                <property name="signingKey" value="****"/>
                <property name="encryptionKey" value="****"/>
            </bean>
        </property>
    </bean>
</constructor-arg>

Spring Плагин безопасности SAML - ни один хостинг-провайдер не настроил исключение

Ответы

Ответ 1

Ответ 2

Ответ 3