Шибболета Атрибут ошибки запрос SAML: Входящее сообщение эмитент не был аутентифицирован

Question

IDP-process.log

ОШИБКИ [org.opensaml.ws.security.provider.MandatoryAuthenticatedMessageRule: 37] - Входящее сообщение эмитент не был идентифицирован.

shibd.log

ОШИБКА OpenSAML.SOAPClient [109]: клиент SOAP обнаружил ошибку SAML: (урна: оазис: Названия: дц: SAML: 2.0 Статус: Ответчик) (Сообщение не встречала требования безопасности)

оШИБКА Shibboleth.AttributeResolver.Query [109]: атрибут власти возвратил ошибку SAML

процесс Шибболет аутентификации работает должным образом. Сервер Active Directory (LDAP) настроен правильно для работы через SSL, который был проверен с использованием LDP.exe. Я также закодировал простую программу Java, чтобы попытаться подключиться к серверу Active Directory по протоколу SSL. Мне удалось подключиться к серверу с помощью порта 636, передать учетные данные пользователя, включая пароль, и сервер ответил правильно.

Сертификаты, на которые уже доверяют соответствующие JVM-cacerts.

Инструкция по установке уже следовали как описано в https://wiki.shibboleth.net/confluence/display/SHIB2/ResolverLDAPDataConnector

Однако, есть еще ошибка во время атрибутов запроса с сервера Active Directory. Ниже приведены фрагменты конфигураций.

Любая идея, почему возникла ошибка в запросе атрибута?

Спасибо.

атрибут-resolver.xml

<resolver:DataConnector id="myLDAP" xsi:type="dc:LDAPDirectory" 
    ldapURL="ldaps://WIN-1GB01UK5SL6.VECISADTEST.com" 
    baseDN="CN=Users,DC=vecisadtest,DC=com" 
    principal="Administrator@vecisadtest.com" 
    principalCredential="XXX" 
    useStartTLS="false" 
    > 
    <dc:FilterTemplate> 
     <![CDATA[ 
      (uid=$requestContext.principalName) 
     ]]> 
    </dc:FilterTemplate> 

    <StartTLSTrustCredential xsi:type="sec:X509Filesystem" 
    xmlns="urn:mace:shibboleth:2.0:resolver:dc" 
    id="UA_AD_CA_Certificate"> 
     <sec:Certificate>C:\Progs\ShibbolethIdP\certs\VECISADTEST.pem</sec:Certificate> 
    </StartTLSTrustCredential> 

    <StartTLSAuthenticationCredential xsi:type="sec:X509Filesystem" 
    xmlns="urn:mace:shibboleth:2.0:resolver:dc" 
    id="IdPtoLDAPCredential"> 
     <sec:PrivateKey>C:\Progs\ShibbolethIdP\credentials\idp.key</sec:PrivateKey> 
     <sec:Certificate>C:\Progs\ShibbolethIdP\credentials\idp.crt</sec:Certificate> 
    </StartTLSAuthenticationCredential> 


</resolver:DataConnector> 

login.config

edu.vt.middleware.ldap.jaas.LdapLoginModule required 
    host="WIN-1GB01UK5SL6.VECISADTEST.com" 
    port="636" 
    base="CN=Users,DC=vecisadtest,DC=com" 
    tls="false" 
    serviceCredential="XXX" 
    userRoleAttribute="sAMAccountName" 
    serviceUser="Administrator@vecisadtest.com" 
    ssl="true" 
    subtreeSearch = "true" 
    userField="sAMAccountName"; 

IDP-metadata.xml

<AttributeService Binding="urn:oasis:names:tc:SAML:1.0:bindings:SOAP-binding" Location="https://idp.janet.org:8444/idp/profile/SAML1/SOAP/AttributeQuery"/><AttributeService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="https://idp.janet.org:8444/idp/profile/SAML2/SOAP/AttributeQuery"/> 

Спасибо.

Answer 1

Проблема была решена путем обновления конфигурационного файла shibboleth2.xml у поставщика услуг. Атрибут подписи должен быть равен true.

[Шибболет Service Provider установить местоположение] \ Etc \ Шибболет \ shibboleth2.xml

SPConfig> ApplicationDefaults @ подписания

По умолчанию установка Шибболет Service Provider 2.5.2, подписывая атрибут является ложным.