WSO2 Identity Server 5.0.0 无法在 SAMLResponse 中为来自辅助用户存储的用户返回用户声明

Question

我在使用 SAML SSO 身份验证时遇到了这个问题。我已经成功设置了 WSO2IS 5.0.0 身份服务器，我也成功设置了（至少我希望如此）辅助用户存储。我使用了 JDBCUserStoreManager 实现。我已将此商店设置为 DOMAIN。这个用户商店工作得很好，至少我认为是这样。因为它将用户属性存储到其表中（USER_ATTRIBUTES），并且这些属性由 WSO2IS 管理读取......

https://localhost:9443/carbon/userprofile/edit.jsp?username=DOMAIN/demo_jbu&profile=default&fromUserMgt=true    

用户被标识为 DOMAIN\username，因此当我想从该 DOMAIN 登录用户时，请求转到我的 AUTHENTICATOR 实现，以便我可以管理来自该域的用户的身份验证。

奇怪的是，如果我使用 WSO2IS 管理页面，我可以很好地设置和读取用户的属性。如果我为来自 PRIMARY 域的用户使用 SAML SSO 身份验证（已经设置了服务提供商和声明映射），一切都会正常，调用 SP 会获取所有属性 - 在 WSO2IS 管理中映射：

https://localhost:9443/carbon/application/configure-service-provider.jsp    

如果我使用 SAML SSO 身份验证，但我想从我的 DOMAIN 登录用户，SP 不会得到任何东西。

我可以在 DefaultResponseBuilder 中覆盖此行为，我可以将任何我想要的东西放入 SAMLResponse，但我觉得这种方法不好。谁能告诉我，在哪里寻找错误？可能有什么问题？我应该从哪里开始寻找问题？我已经尝试对其进行调试，但它（SAML SSO/AUTHENTICATOR）似乎没有为 DOMAIN 用户找到任何声明。

提前谢谢你。

约瑟夫

Answer 1

我认为这是 Identity Server 5.0.0 中的错误。当您使用 SAML2 SSO 时，用户可以使用带域名的用户名和不带域名的用户名登录 Identity Server。基本上 bob 和 foo.com/bob 必须同时工作并从 foo.com 用户存储返回 bob 用户的属性。但是 IS 5.0.0 存在问题，如果辅助用户存储没有域名的用户登录，Identity Server 不会返回用户属性。但是，请尝试使用foo.com/bob 登录，然后它会返回用户的属性。

您可以找到公众jira。它包含源差异。它必须是一个简单的修复程序，您甚至可以编译源代码并将修复程序添加到 Identity Server。