如何在 bluemix 中使用 SSOCircle 作为 SSO 服务的 IDP？答案

【问题标题】：How to use SSOCircle as an IDP for SSO service in bluemix?如何在 bluemix 中使用 SSOCircle 作为 SSO 服务的 IDP？
【发布时间】：2015-10-28 14:51:14
【问题描述】：

SSOCircle 根据他们的网站提供了一个现成的身份提供者。我想模拟 SAML SSO 并将其集成到 bluemix 中的示例 Liberty for Java 应用程序中。

到目前为止我做了什么：

从“管理元数据”下载了 SSOCircle 公共 IDP 元数据。通过上传文件按钮将其上传到 bluemix SSO 服务，并在 SAML Enterprise 设置的“步骤 1”下的文本框中输入 https://idp.ssocircle.com/sso。
在 SAML Enterprise 设置的“步骤 2”下下载了 SAML 元数据并将其导入 SSOCircle。我使用的 FQDN 是：https://ssocruzgstest-8iotczj2sk-cabc.iam.ibmcloud.com。

编辑** 按照 Martin 的建议将 URL 更改为 https://idp.ssocircle.com/sso/idpssoinit?metaAlias=/ssocircle&spEntityID=https://ssocruzgstest-8iotczj2sk-cabc.iam.ibmcloud.com/idaas/mtfim/sps/idaas/saml20

整合后。我将浏览器指向https://cruzgsjava1.mybluemix.net，然后单击“使用 SAML Enterprise 登录”。

我被重定向到https://idp.ssocircle.com/sso/UI/Login?module=peopleMembership&goto=https%3A%2F%2Fidp.ssocircle.com%2Fsso%2Fidpssoinit%3FmetaAlias%3D%2Fssocircle%26spEntityID%3Dhttps%3A%2F%2Fssocruzgstest-8iotczj2sk-cabc.iam.ibmcloud.com%2Fidaas%2Fmtfim%2Fsps%2Fidaas%2Fsaml20。我登录后遇到错误

【问题讨论】：

标签： single-sign-on saml ibm-cloud

【解决方案1】：

您的网址错误。我没有在 ssocircle.com 上看到明确的文档，但我发现了一些样本，我可以从中推断出（希望是）正确的 URL 模式。这是我用来测试的：

https://idp.ssocircle.com/sso/idpssoinit?metaAlias=/ssocircle&spEntityID=<your SP entity ID>;

您可以通过在步骤 2 中下载服务提供商元数据并检查根元素“md:EntityDescriptor”的属性“entityID”来找到您的 SP 实体 ID。

【讨论】：

我将 URL 更改为 idp.ssocircle.com/sso/idpssoinit?metaAlias=/…。我登录但遇到错误。 FBTSML236E 无法验证或解密idp.ssocircle.com 发出的断言。我在 SSOCircle 中检查了“我的 SAML 联合”，服务提供商 URL 出现在其中。
是的，我在该步骤也收到此错误消息。抱歉，我还没有找到解决方法。

【解决方案2】：

SSOCircle URL 正确。该错误发生在 bluemix 站点。根据 IBM 知识中心 FBTSML236E 的说法，跟踪日志将指示操作失败。

很可能断言签名的验证失败。 SSOCircle 签名证书本身不是自签名的，而是由其自己的 CA 签名的。可能是 bluemix 正在验证整个证书链，因此需要 CA 证书。您可以在登录后从 SSOCircle 网站获取它，然后在 'My certificate status' 下您会找到指向 CA 证书的链接。

如果这不能解决问题。请咨询 IBM 如何验证 SAML 响应。 SSOCircle 公共 IDP 默认签署 SAML 断言。可能是 Bluemix 有不同的要求（例如，签署 SAML 响应）

【讨论】：