Bereitstellung von Metadaten in der Konsole

Führen Sie die folgenden Schritte aus, um sich über die IBM Cloud-Benutzerschnittstelle bei Ihren Anwendungen anzumelden:

1. Navigieren Sie zur Registerkarte SAML 2.0 des App ID-Dashboards.

2. Fügen Sie den Providernamen hinzu. Der Standardname ist SAML.

3. Geben Sie die folgenden Metadaten, die Sie vom Identitätsprovider erhalten haben, im Abschnitt Metadaten vom SAML-Identitätsprovider (IdP) bereitstellen ein.

   Die Informationen, die für App ID angegeben werden müssen

   Variable	Beschreibung
   Sign-in URL	Die URL, an die der Benutzer zur Registrierung weitergeleitet wird. Diese URL ist bei Ihrem SAML-Identitätsprovider gehostet.
   Entity ID	Die Entitäts-ID ist der globale eindeutige Name für einen SAML-Identitätsprovider.
   Primary certificate	Das Signaturzertifikat wird von Ihrem SAML-Identitätsprovider ausgegeben. Es wird für die Registrierung und für die Überprüfung der SAML-Zusicherungen verwendet. Alle Provider sind unterschiedlich, möglicherweise können Sie das Signaturzertifikat von Ihrem Identitätsprovider herunterladen. Das Zertifikat muss das Format .pem aufweisen.

4. Optional: Stellen Sie ein sekundäres Zertifikat zur Verfügung, das verwendet wird, falls die Signaturvalidierung mit dem primären Zertifikat fehlschlägt. Falls der Signierschlüssel gleich bleibt, blockiert App ID die Authentifizierung für abgelaufene Zertifikate nicht.

5. Klicken Sie auf Speichern.

Möchten Sie einen Authentifizierungskontext festlegen? Sie können dies über die API tun.

Konfigurieren der IdP-initiated Anmeldung in der Konsole

Wenn Sie sich über die Benutzeroberfläche Ihres Identitätsanbieters bei Ihren Anwendungen in der IBM Cloud anmelden möchten, können Sie optional die IdP-initiated Anmeldung aktivieren.

Führen Sie die Schritte 1 - 4 im Abschnitt Bereitstellen von Metadaten in der Konsole aus. Führen Sie dann den folgenden Prozess durch.

5. Aktivieren Sie die von IdP initiierte Anmeldung.
6. Geben Sie den IdP redirect URL ein.
7. Klicken Sie auf Speichern.

Bereitstellung von Metadaten mit der API

1. Zeigen Sie Ihre aktuelle SAML Konfiguration an, einschließlich Ihres Authentifizierungskontexts und Ihrer Zertifikate, indem Sie eine GET-Anfrage an den /saml API-Endpunkt stellen.

   Beispielcode:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Beispielausgabe:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Erstellen Sie eine SAML-Konfiguration durch Ersetzen der Werte im folgenden Beispiel durch die Informationen von Ihrem Provider. Die im Beispiel gezeigten Werte sind erforderlich, Sie haben jedoch die Möglichkeit, weitere Informationen einzuschließen, wie in der Tabelle dargestellt.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML konfigurationsvariablen

   Variable	Beschreibung
   signInUrl	Die URL, an die der Benutzer zur Registrierung weitergeleitet wird. Diese URL ist bei Ihrem SAML-Identitätsprovider gehostet.
   entityID	Die Entitäts-ID ist der globale eindeutige Name für einen SAML-Identitätsprovider.
   displayName	Der Name, den Sie Ihrer SAML-Konfiguration zuordnen.
   primary-certificate-example-pem-format	Das Zertifikat, das vom SAML-Identitätsprovider ausgegeben wird. Es wird für die Registrierung und für die Überprüfung der SAML-Zusicherungen verwendet. Alle Provider sind unterschiedlich, möglicherweise können Sie das Signaturzertifikat von Ihrem Identitätsprovider herunterladen. Das Zertifikat muss das Format .pem aufweisen.
   Optional: secondary-certificate-example-pem-format	Das von Ihrem SAML-Identitätsprovider ausgestellte Sicherungszertifikat. Es wird verwendet, wenn die Signaturvalidierung mit dem primären Zertifikat fehlschlägt. Hinweis: Falls der Signierschlüssel gleich bleibt, blockiert App ID die Authentifizierung für abgelaufene Zertifikate nicht.
   Optional: authnContext	Der Authentifizierungskontext wird verwendet, um die Qualität der Authentifizierung und SAML-Zusicherungen zu überprüfen. Sie können einen Authentifizierungskontext hinzufügen, indem Sie ein Klassenarray und eine Vergleichszeichenfolge zu Ihrem Code hinzufügen. Sie müssen die Parameter class und comparison mit Ihren Werten aktualisieren. Der Parameter class kann beispielsweise dem Wert für urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue ähneln.
   Optional: signRequest	Das Flag signRequest gibt Ihnen die Möglichkeit, eine signierte SAML-Anforderung unter Anwendung des privaten SAML-Signierschlüssels des Tenants an einen Identitätsprovider zu senden. Um Ihren SAML-Identitätsprovider für den Empfang einer signierten Anforderung zu konfigurieren, benötigen Sie das Signaturzertifikat aus der Metadatendatei, die Sie im Feld KeyDescriptor use="signing" herunterladen können. Standardmäßig ist die Anforderungssignatur auf off gesetzt.
   Optional: encryptResponse	Das Flag encryptResponse ermöglicht den Empfang einer verschlüsselten Antwort von Ihre, Identitätsprovider als Teil der Authentifizierungsanforderung. Zum Konfigurieren Ihres SAML-Identitätsproviders für das Senden einer verschlüsselten Antwort benötigen Sie das Verschlüsselungszertifikat, das Sie in der Metadatendatei im Feld KeyDescriptor use="encryption" finden. Standardmäßig ist die Antwortverschlüsselung auf off gesetzt.

3. Stellen Sie eine PUT-Anforderung an den API-Endpunkt /saml, um die in Schritt 2 erstellte Konfiguration an App ID zu übermitteln. Überprüfen Sie das folgende Beispiel, um sich damit vertraut zu machen, wie Ihre Anforderung aussehen kann.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

Konfigurieren der IdP-initiated Anmeldung mit der API

Führen Sie die folgenden Schritte aus, um IdP-initiated login zu konfigurieren.

1. Zeigen Sie Ihre aktuelle SAML Konfiguration an, einschließlich Ihres Authentifizierungskontexts und Ihrer Zertifikate, indem Sie eine GET-Anfrage an den /saml API-Endpunkt stellen.

   Beispielcode:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Beispielausgabe:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Erstellen Sie eine SAML-Konfiguration durch Ersetzen der Werte im folgenden Beispiel durch die Informationen von Ihrem Provider. Die im Beispiel gezeigten Werte sind erforderlich, Sie haben jedoch die Möglichkeit, weitere Informationen einzuschließen, wie in der Tabelle dargestellt.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML konfigurationsvariablen

   Variable	Beschreibung
   signInUrl	Die URL, an die der Benutzer zur Registrierung weitergeleitet wird. Diese URL ist bei Ihrem SAML-Identitätsprovider gehostet.
   entityID	Die Entitäts-ID ist der globale eindeutige Name für einen SAML-Identitätsprovider.
   displayName	Der Name, den Sie Ihrer SAML-Konfiguration zuordnen.
   primary-certificate-example-pem-format	Das Zertifikat, das vom SAML-Identitätsprovider ausgegeben wird. Es wird für die Registrierung und für die Überprüfung der SAML-Zusicherungen verwendet. Alle Provider sind unterschiedlich, möglicherweise können Sie das Signaturzertifikat von Ihrem Identitätsprovider herunterladen. Das Zertifikat muss das Format .pem aufweisen.
   DefaultRelayState	Der Anfangswert für RelayState. Diese Variable wird in den Einstellungen Ihres Identitätsproviders konfiguriert. Diese Variable kann für den Redirect URL anstelle von idpRedirectUrl bei SAML Anfragen von Ihrem Identitätsanbieter verwendet werden. Wenn Sie beide Variablen festlegen, hat der Wert von DefaultRelayState Vorrang. IdP-initiated die Anmeldung schlägt fehl, wenn Sie eine dieser Variablen nicht setzen.
   idpInitEnabled	Ein boolescher Wert, der angibt, ob die vom IdP initiierte Anmeldung aktiviert werden soll.
   idpRedirectUrl	Der Wert dieses Feldes kann null, eine leere Zeichenfolge oder eine gültige http- oder https-Weiterleitung URL sein. Hinweis: Wenn der Wert dieses Feldes gleich Null ist, müssen Sie DefaultRelayState als Umleitung festlegen URL. Wenn Sie beide Variablen festlegen, hat der Wert von DefaultRelayState Vorrang. IdP-initiated die Anmeldung schlägt fehl, wenn Sie eine dieser Variablen nicht setzen.
   Optional: secondary-certificate-example-pem-format	Das von Ihrem SAML-Identitätsprovider ausgestellte Sicherungszertifikat. Es wird verwendet, wenn die Signaturvalidierung mit dem primären Zertifikat fehlschlägt. Hinweis: Falls der Signierschlüssel gleich bleibt, blockiert App ID die Authentifizierung für abgelaufene Zertifikate nicht.
   Optional: authnContext	Der Authentifizierungskontext wird verwendet, um die Qualität der Authentifizierung und SAML-Zusicherungen zu überprüfen. Sie können einen Authentifizierungskontext hinzufügen, indem Sie ein Klassenarray und eine Vergleichszeichenfolge zu Ihrem Code hinzufügen. Sie müssen die Parameter class und comparison mit Ihren Werten aktualisieren. Der Parameter class kann beispielsweise dem Wert für urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue ähneln.
   Optional: signRequest	Das Flag signRequest gibt Ihnen die Möglichkeit, eine signierte SAML-Anforderung unter Anwendung des privaten SAML-Signierschlüssels des Tenants an einen Identitätsprovider zu senden. Um Ihren SAML-Identitätsprovider für den Empfang einer signierten Anforderung zu konfigurieren, benötigen Sie das Signaturzertifikat aus der Metadatendatei, die Sie im Feld KeyDescriptor use="signing" herunterladen können. Standardmäßig ist die Anforderungssignatur auf off gesetzt.
   Optional: encryptResponse	Das Flag encryptResponse ermöglicht den Empfang einer verschlüsselten Antwort von Ihre, Identitätsprovider als Teil der Authentifizierungsanforderung. Zum Konfigurieren Ihres SAML-Identitätsproviders für das Senden einer verschlüsselten Antwort benötigen Sie das Verschlüsselungszertifikat, das Sie in der Metadatendatei im Feld KeyDescriptor use="encryption" finden. Standardmäßig ist die Antwortverschlüsselung auf off gesetzt.

3. Stellen Sie eine PUT-Anforderung an den API-Endpunkt /saml, um die in Schritt 2 erstellte Konfiguration an App ID zu übermitteln. Überprüfen Sie das folgende Beispiel, um sich damit vertraut zu machen, wie Ihre Anforderung aussehen kann.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }