2

我有 ADFS 服务器作为 IdP。我有单独的 SP 应用程序。这些是在信任圈中定义的。基于 SAML 协议的 SSO 工作正常。当我尝试 SP 发起的注销请求时，ADFS 端出现错误：

MSIS7000：登录请求不符合 Web 浏览器客户端的 WS-Federation 语言或 SAML 2.0 协议 WebSSO 配置文件。

编辑来自 ADFS 事件跟踪的更多详细消息：

MSIS7015：此请求不包含预期的协议消息或根据 HTTP SAML 协议绑定发现不正确的协议参数。

我已经查看了 mu log out SAML 消息并且看起来是正确的。只是提到同一个 SP 正在使用 ForgeRocks IdP（前 Sun OpenSSO）正确注销。

Saml loout 请求消息：

<samlp:LogoutRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
                 ID="b00b3f55-f3e3-4935-9e91-da6bf8b62efd"
                 Version="2.0"
                 IssueInstant="2013-08-27T09:45:08Z"
                 Destination="https://00.00.00.00/adfs/ls/"
                 Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified"
                 NotOnOrAfter="2013-08-27T09:50:08Z"
                 >
<saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">SPEntityId/</saml:Issuer>                    
<saml:NameID xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">jsmith@company.com</saml:NameID>
<samlp:SessionIndex>_ea853497-c58a-408a-bc23-c849752d9741</samlp:SessionIndex>

编辑

Lan 建议我必须签署注销请求消息。他是对的。在 OASIS 规范（http://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf）第 4.4.3.1 节。它被描述。据此，我正在发送现在签名的消息，但我遇到了同样的问题。

签名留言：

<samlp:LogoutRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
                 ID="aed640c0-9455-49ea-9450-4ad7c08d98e7"
                 Version="2.0"
                 IssueInstant="2013-08-29T15:22:45Z"
                 Destination="https://server/adfs/ls/"
                 Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified"
                 NotOnOrAfter="2013-08-29T03:27:45Z"
                 >
<saml:NameID xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
             Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">user</saml:NameID>
<samlp:SessionIndex>_677952a2-7fb3-4e7a-b439-326366e677db</samlp:SessionIndex>
<saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">SPIssuer</saml:Issuer>
<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315" />
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <Reference URI="#aed640c0-9455-49ea-9450-4ad7c08d98e7">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <DigestValue>53jjPvQ2Ty1Z+VikwrUwW4Erj3k=</DigestValue>
        </Reference>
    </SignedInfo>
    <SignatureValue>signed value</SignatureValue>
    <KeyInfo>
        <X509Data>
            <X509Certificate>certificate</X509Certificate>
        </X509Data>
    </KeyInfo>
</Signature>

我做错了什么？应该在 ADFS 上指定一些其他端点吗？正如我所得到的，应该与登录请求相同（在我这边工作得很好）。

谢谢， 拉斯特科

4

2 回答 2

6

Finlay 我可以做 SLO :)

以前我使用过 ForgeRock 的 IDP，它运行良好，但使用 ADFS 却没有。很明显，微软已经限制了与 SAML 消息格式相关的规则。我发现的结论：

  1. LogoutRequest 消息必须签名（SAML 2.0 Profiles doc，Sect 4.4.3.1）。谢谢伊恩。

  2. XML 元素和属性的顺序很重要。此消息的底部是我的注销请求的最终版本。

  3. NameId 必须与从 AuthenticationResponse 接收到的格式相同。它应该包含 ADFS 预期的元素。这些链接帮助了我： SAML 主题和SAML LogoutRequest中的名称标识符（名称 ID）声明

  4. 我必须使用 XmlDsigExcC14NTransform 转换 LogoutRequest 签名，这应该在 XmlDsigEnvelopedSignatureTransform 之后添加

  5. 签名的规范化方法应该是http://www.w3.org/2001/10/xml-exc-c14n#

  6. Issuer、NameID 和 SessionIndex 是必需的 XML 元素

  7. 命名空间是强制性的： xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 和 xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"

正在工作的最终 LogoutRequest 消息：

<samlp:LogoutRequest ID="f8a62847-92f2-4f0c-936a-df9efe0cc42f"
                 Version="2.0"
                 IssueInstant="2013-08-29T20:53:50Z"
                 Destination="https://server/adfs/ls/"
                 Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified"
                 xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
                 >
<saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">https://sp.com/</saml:Issuer>
<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <Reference URI="#f8a62847-92f2-4f0c-936a-df9efe0cc42f">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <DigestValue>W7F1E2U1OAHRXn/ItbnsYZyXw/8=</DigestValue>
        </Reference>
    </SignedInfo>
    <SignatureValue></SignatureValue>
    <KeyInfo>
        <X509Data>
            <X509Certificate></X509Certificate>
        </X509Data>
    </KeyInfo>
</Signature>
<saml:NameID xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
             Format="http://schemas.xmlsoap.org/claims/UPN"
             >user</saml:NameID>
<samlp:SessionIndex>_2537f94b-a150-415e-9a45-3c6fa2b6dd60</samlp:SessionIndex>

于 2013-08-29T21:24:25.013 回答
1

IIRC SAML 2.0 SP 发起的 SLO 需要在 LogoutRequest 上使用数字签名？这样可以确保没有人欺骗 LogoutRequest 并将用户从所有现有会话中注销。

假设您使用的是 POST 绑定而不是 Redirect，因为我在 XML 中看不到签名。使用重定向，签名信息作为查询参数传递。

于 2013-08-27T19:46:36.133 回答