single-sign-on - 使用 PingFederate 为 SSO 配置 Spring SAML

Question

我们决定使用 Ping Federate 作为我们的 SSO 解决方案。我搜索了许多示例，但没有找到清楚描述我需要如何在 PingFederate 端设置我的 SP 和/或 IdP 的弹簧配置。我还没有找到一个 Spring 文档来描述我需要什么来实现它。

任何帮助，非常感谢。

Answer 1

目前没有关于在 Spring SAML 和 Ping 之间建立联合的分步指南，但步骤与Spring SAML快速入门指南中描述的非常相似。

最好的方法是从 Spring SAML 中包含的示例应用程序开始，将其配置为使用 Ping，然后将配置传输到您当前的 Spring 应用程序。

高级步骤是：

• 部署 Spring SAML 示例应用程序
• 下载其 SP 元数据https://server:port/context/saml/metadata（只需打开浏览器到 URL 并存储它返回的所有内容）
• 通过创建新的“SP 连接”来配置 Ping，作为您导入之前存储的元数据的过程的一部分，首先您可以在大多数设置上使用默认值
• 完成后，使用管理功能从 Ping 导出 IDP 元数据 -> 为您在上一步中创建的连接导出元数据
• 将 IDP 元数据导入您的 Spring SAML（示例在手册中）

这会在两者之间建立联合，并使您能够开始通过 Ping 对用户进行身份验证。

在您的情况下，元数据配置（bean 元数据）应如下所示：

<bean id="metadata" class="org.springframework.security.saml.metadata.CachingMetadataManager">
    <constructor-arg>
        <list>
            <bean class="org.springframework.security.saml.metadata.ExtendedMetadataDelegate">
                <constructor-arg>
                    <bean class="org.opensaml.saml2.metadata.provider.FilesystemMetadataProvider">
                        <constructor-arg>
                            <value type="java.io.File">classpath:security/idp.xml</value>
                        </constructor-arg>
                        <property name="parserPool" ref="parserPool"/>
                    </bean>
                </constructor-arg>
                <constructor-arg>
                    <bean class="org.springframework.security.saml.metadata.ExtendedMetadata"/>
                </constructor-arg>
                <property name="metadataTrustCheck" value="false"/>
            </bean>
        </list>
    </constructor-arg>
</bean>

确保将 resources/security/idp.xml 替换为 PF 中的元数据。您可以删除所有未使用的 ExtendedMetadata bean 实例（如 SSO Circle 的实例）。元数据 bean 可以包含多个“链接”的原因是它可以同时支持多个 IDP。