Fornitura di metadati nella console

Per accedere alle tue applicazioni dall'IU IBM Cloud, attieniti alla seguente procedura.

1. Passa alla scheda SAML 2.0 del dashboard App ID.

2. Aggiungere il Nome provider. Il nome predefinito è SAML.

3. Immetti i seguenti metadati che hai ottenuto dal provider di identità nella sezione Provide Metadata from SAML IdP.

   Le informazioni che devono essere fornite a App ID

   Variabile	Descrizione
   Sign-in URL	L'URL a cui l'utente viene reindirizzato per l'autenticazione. È ospitato dal tuo provider di identità SAML.
   Entity ID	Il nome globalmente univoco per un provider di identità SAML.
   Primary certificate	Il certificato emesso dal tuo provider di identità SAML. È utilizzato per firmare e convalidare le asserzioni SAML. Tutti i provider sono diversi, ma potresti essere in grado di scaricare il certificato di firma dal tuo provider di identità. Il certificato deve essere in formato .pem.

4. Facoltativo: fornisci un certificato secondario che viene utilizzato se la convalida della firma non riesce sul certificato primario. Se la chiave di firma rimane la stessa, App ID non blocca l'autenticazione per i certificati scaduti.

5. Fare clic su Salva.

Vuoi impostare un contesto di autenticazione? Puoi farlo tramite l'API.

Configurazione del login IdP-initiated nella console

Se si desidera accedere alle applicazioni su IBM Cloud dall'interfaccia utente del provider di identità, è possibile attivare il login IdP-initiated.

Seguire i passaggi da 1 a 4 della sezione Fornitura di metadati nella console. Quindi, completare la procedura seguente.

5. Abilita il login iniziato daIdP.
6. Inserire il reindirizzamento IdP URL.
7. Fare clic su Salva.

Fornitura dei metadati con l'API

1. Visualizzare la configurazione attuale di SAML, compresi il contesto di autenticazione e i certificati, effettuando una richiesta GET all'endpoint /saml API.

   Codice di esempio:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Output di esempio:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Crea la tua configurazione SAML sostituendo i valori nel seguente esempio con le informazioni dal tuo provider. I valori indicati nell'esempio sono obbligatori, ma si può scegliere di includere altre informazioni, come indicato nella tabella.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variabili di configurazione

   Variabile	Descrizione
   signInUrl	L'URL a cui l'utente viene reindirizzato per l'autenticazione. È ospitato dal tuo provider di identità SAML.
   entityID	Il nome globalmente univoco per un provider di identità SAML.
   displayName	Il nome che assegni alla tua configurazione SAML.
   primary-certificate-example-pem-format	Il certificato emesso dal tuo provider di identità SAML. È utilizzato per firmare e convalidare le asserzioni SAML. Tutti i provider sono diversi, ma potresti essere in grado di scaricare il certificato di firma dal tuo provider di identità. Il certificato deve essere in formato .pem.
   Facoltativo: secondary-certificate-example-pem-format	Il certificato di backup emesso dal provider di identità SAML. Viene utilizzato se la convalida della firma non riesce con il certificato primario. Nota: Se la chiave di firma rimane la stessa, App ID non blocca l'autenticazione per i certificati scaduti.
   Facoltativo: authnContext	Il contesto di autenticazione viene utilizzato per verificare la qualità dell'autenticazione e delle asserzioni SAML. Puoi aggiungere un contesto di autenticazione aggiungendo un array di classi e una stringa di confronto al tuo codice. Assicurati di aggiornare entrambi i parametri class e comparison con i tuoi valori. Ad esempio, un parametro class potrebbe essere simile a urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Facoltativo: signRequest	Il flag signRequest consente di inviare una richiesta firmata SAML a un fornitore di identità, firmata utilizzando la chiave privata di firma SAML del tenant. Per configurare il provider di identità SAML in modo che riceva una richiesta firmata, è necessario il certificato di firma dal file di metadati che si può scaricare nel campo KeyDescriptor use="signing". Per impostazione predefinita, la firma della richiesta è impostata su off.
   Facoltativo: encryptResponse	Il flag encryptResponse consente di ricevere una risposta criptata dal fornitore di identità come parte della richiesta di autenticazione. Per configurare il provider di identità SAML in modo che invii una risposta criptata, è necessario il certificato di crittografia che si trova nel file dei metadati nel campo KeyDescriptor use="encryption". Per impostazione predefinita, la crittografia della risposta è impostata su off.

3. Effettuare una richiesta PUT al sito /saml Punto finale API per fornire la configurazione creata al punto 2 a App ID. Consulta il seguente esempio per vedere a cosa può somigliare la tua richiesta.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

Configurazione del login IdP-initiated con l'API

Per configurare il login IdP-initiated, completare i seguenti passaggi.

1. Visualizzare la configurazione attuale di SAML, compresi il contesto di autenticazione e i certificati, effettuando una richiesta GET all'endpoint /saml API.

   Codice di esempio:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Output di esempio:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Crea la tua configurazione SAML sostituendo i valori nel seguente esempio con le informazioni dal tuo provider. I valori indicati nell'esempio sono obbligatori, ma si può scegliere di includere altre informazioni, come indicato nella tabella.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variabili di configurazione

   Variabile	Descrizione
   signInUrl	L'URL a cui l'utente viene reindirizzato per l'autenticazione. È ospitato dal tuo provider di identità SAML.
   entityID	Il nome globalmente univoco per un provider di identità SAML.
   displayName	Il nome che assegni alla tua configurazione SAML.
   primary-certificate-example-pem-format	Il certificato emesso dal tuo provider di identità SAML. È utilizzato per firmare e convalidare le asserzioni SAML. Tutti i provider sono diversi, ma potresti essere in grado di scaricare il certificato di firma dal tuo provider di identità. Il certificato deve essere in formato .pem.
   DefaultRelayState	Il valore iniziale per RelayState. Questa variabile è configurata nelle impostazioni del provider di identità. Questa variabile può essere usata per il reindirizzamento URL invece di idpRedirectUrl durante le richieste SAML del fornitore di identità. Se si impostano entrambe le variabili, il valore di DefaultRelayState ha la precedenza. IdP-initiated il login fallisce se non si imposta una di queste variabili.
   idpInitEnabled	Un valore booleano per indicare se si desidera abilitare il login avviato da IdP.
   idpRedirectUrl	Il valore di questo campo può essere null, una stringa vuota o un redirect http o https valido URL. Nota: se il valore di questo campo è nullo, si deve impostare DefaultRelayState come redirect URL. Se si impostano entrambe le variabili, il valore di DefaultRelayState ha la precedenza. IdP-initiated il login fallisce se non si imposta una di queste variabili.
   Facoltativo: secondary-certificate-example-pem-format	Il certificato di backup emesso dal provider di identità SAML. Viene utilizzato se la convalida della firma non riesce con il certificato primario. Nota: Se la chiave di firma rimane la stessa, App ID non blocca l'autenticazione per i certificati scaduti.
   Facoltativo: authnContext	Il contesto di autenticazione viene utilizzato per verificare la qualità dell'autenticazione e delle asserzioni SAML. Puoi aggiungere un contesto di autenticazione aggiungendo un array di classi e una stringa di confronto al tuo codice. Assicurati di aggiornare entrambi i parametri class e comparison con i tuoi valori. Ad esempio, un parametro class potrebbe essere simile a urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Facoltativo: signRequest	Il flag signRequest consente di inviare una richiesta firmata SAML a un fornitore di identità, firmata utilizzando la chiave privata di firma SAML del tenant. Per configurare il provider di identità SAML in modo che riceva una richiesta firmata, è necessario il certificato di firma dal file di metadati che si può scaricare nel campo KeyDescriptor use="signing". Per impostazione predefinita, la firma della richiesta è impostata su off.
   Facoltativo: encryptResponse	Il flag encryptResponse consente di ricevere una risposta criptata dal fornitore di identità come parte della richiesta di autenticazione. Per configurare il provider di identità SAML in modo che invii una risposta criptata, è necessario il certificato di crittografia che si trova nel file dei metadati nel campo KeyDescriptor use="encryption". Per impostazione predefinita, la crittografia della risposta è impostata su off.

3. Effettuare una richiesta PUT al sito /saml Punto finale API per fornire la configurazione creata al punto 2 a App ID. Consulta il seguente esempio per vedere a cosa può somigliare la tua richiesta.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }