如何将 openam 配置为身份提供者 (IdP) 以测试基于 SAML 的 SSO答案

【问题标题】：how to Configure openam as Identity provider(IdP) to test SAML based SSO如何将 openam 配置为身份提供者 (IdP) 以测试基于 SAML 的 SSO
【发布时间】：2013-04-24 09:28:57
【问题描述】：

我正在尝试将 openam 配置为身份提供者来测试我的 SAML 基于服务提供者的应用程序。

我进行了很多搜索并看到了 openam 的文档。有很多 openam 支持的东西，我可能不需要片刻。我不想阅读整个文档，这需要很多时间阅读我现在不想测试的东西。我什至看到了 chatpet 9“管理 SAML 2.0 SSO”，位于 http://docs.forgerock.org/en/openam/10.0.0/admin-guide/index/index.html 但在此之前需要配置很多东西。

是否有任何快速入门指南可以将其作为基于 saml 的 IdP 进行测试？

编辑

不是快速，详细也可以。但我希望 OpenAm 作为身份提供者。 SP 是我们开发的托管在 Jetty 上的应用程序。还告诉我我必须在 SP 上进行哪些更改，例如应用程序的哪些 url 应该响应什么。

【问题讨论】：

标签： single-sign-on saml openam

【解决方案1】：

对于您的问题，真的没有万能的答案。设置 SAMLv2 联合很大程度上取决于实际的 SP 实现，有些 SP 可以使用 SAML 元数据，有些则不能。在两个 OpenAM 实例之间建立联合以供参考的最简单方法是：

在节点 1 上创建托管 IdP 向导
在 node2 上创建托管 SP 向导
在两个节点上删除持久的 NameID 格式，因此两个节点都将在列表顶部具有瞬态
在 node1 上注册远程 SP 向导，URL 为：node2/openam/saml2/jsp/exportmetadata.jsp
在 node2 上注册远程 IdP 向导，URL 为：node1/openam/saml2/jsp/exportmetadata.jsp
在 Node2 上的 Hosted SP 设置中将临时用户设置为“匿名”

毕竟，您可以使用以下方法测试联邦：

/openam/spssoinit?metaAlias=/sp&idpEntityID=node1_entityid on node2
/openam/idpssoinit?metaAlias=/idp&spEntityID=node2_entityid on node1

我使用了默认的 metaAlias 值，但这些值应该在控制台页面上可见。同样，通过下载元数据，您可以查看给定实体的实际实体 ID。

基于此，您现在应该看到，使用 OpenAM IdP，您至少可以使用 idpssoinit URL 测试 SAML 支持（如果您的 SP 支持未经请求的响应），但从另一方面来看，它在很大程度上取决于您的 SP 实施您需要如何实际触发 SAML 身份验证。

【讨论】：

看起来这种设置适用于 SP 也在其中一个 OpenAm 服务器中的情况。在我的例子中，SP 是一个码头应用程序。
是的，请注意“两个 OpenAM 实例之间”部分。但是在两端设置元数据后，您可以轻松地使用这些 spssoinit/idpssoinit URL 来实际测试实体之间的联合。跨度>
感谢您的回答。如果我错过了什么，对不起我的英语不好。我认为在我的情况下，我不需要设置 node2，只需要将 SP 注册到 node1。为此，我需要元数据文件。 ps：我在问题上添加了更多细节以便更好地说明。
如果这是一个内部开发的 SP，那么您应该熟悉 SAML 规范，因此设置 SAML 元数据应该不那么困难，您还应该知道给定端点应该如何回应不同的询问。如果您使用一些外部 SAML 工具，那么您应该熟悉它的文档以便能够构建元数据...
我有一个问题。我正在我的 Web 应用程序和 zendesk 之间尝试 SSO。 Zendesk 支持 opeam saml 实现。因此 openam 实例将成为托管身份提供者，而 zendesk 将成为远程服务提供者。我说得对吗？我应该如何配置这些东西。谢谢！

【解决方案2】：

This 似乎是一个简单的设置。

【讨论】：

这并没有提供问题的答案。要批评或要求作者澄清，请在其帖子下方发表评论。
@vonv。提供将 OpenAM 设置为 IDP 的快速入门指南如何不能回答“是否有任何快速入门指南可以将其测试为基于 saml 的 IdP？”的问题？
这是来自审核系统的消息。但是，如果我直接回答了您的问题，我想说的是，您应该提供一些可以回答问题的内容。正如马特已经提到的，链接将来可能会失效。另外，请记住我们试图在这里提供好的内容。如果我们在这里输入的只是一些网站的链接，那么它就不是好的内容，不是吗？
我同意我应该在答案中发布摘要
在我的情况下，服务提供者只是一个不在 shib 上创建的 Web 应用程序。如何获取元数据文件。应用程序应该支持哪些东西/url。