Proporcionar metadatos en la consola

Para iniciar sesión en las aplicaciones desde la interfaz de usuario de IBM Cloud, siga estos pasos.

1. Vaya al separador SAML 2.0 del panel de control de App ID.

2. Añada el Nombre de proveedor. El nombre predeterminado es SAML.

3. Entre los metadatos siguientes que ha obtenido del proveedor de identidad en la sección Proporcionar metadatos de IdP SAML.

   La información que debe proporcionarse a App ID

   Variable	Descripción
   Sign-in URL	El URL al que se redirige el usuario para su autenticación. Se aloja mediante el proveedor de identidad SAML.
   Entity ID	Nombre exclusivo globalmente para un proveedor de identidad SAML.
   Primary certificate	Certificado emitido por el proveedor de identidad SAML. Se utiliza para firmar y validar aserciones SAML. Todos los proveedores son distintos, pero podría descargar el certificado de firma desde el proveedor de identidad. El certificado debe estar en formato .pem.

4. Opcional: Proporcione un Certificado secundario que se utilice si la validación de firma falla en el certificado primario. Si la clave de firma sigue siendo la misma, App ID no bloquea la autenticación de certificados caducados.

5. Pulse Guardar.

¿Desea establecer un contexto de autenticación? Puede hacerlo a través de la API.

Configuración del inicio de sesión IdP-initiated en la consola

Opcionalmente, si desea iniciar sesión en sus aplicaciones en IBM Cloud desde la interfaz de usuario de su proveedor de identidades, puede habilitar el inicio de sesión IdP-initiated.

Siga los pasos 1 - 4 de la sección Proporcionar metadatos en la consola. A continuación, completa el siguiente proceso.

5. Habilite el inicio de sesión iniciado porIdP.
6. Introduzca la redirección IdP URL.
7. Pulse Guardar.

Proporcionar metadatos con la API

1. Para ver la configuración actual de SAML, incluidos el contexto de autenticación y los certificados, realice una solicitud GET al punto final de la API /saml.

   Código de ejemplo:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Salida de ejemplo:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Cree la configuración de SAML sustituyendo los valores del ejemplo siguiente por la información de su proveedor. Los valores que se muestran en el ejemplo son necesarios, pero puede elegir incluir más información como se muestra en la tabla.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variables de configuración

   Variable	Descripción
   signInUrl	El URL al que se redirige el usuario para su autenticación. Se aloja mediante el proveedor de identidad SAML.
   entityID	Nombre exclusivo globalmente para un proveedor de identidad SAML.
   displayName	El nombre que asigna a la configuración de SAML.
   primary-certificate-example-pem-format	El certificado emitido por el proveedor de identidad de SAML. Se utiliza para firmar y validar aserciones SAML. Todos los proveedores son distintos, pero podría descargar el certificado de firma desde el proveedor de identidad. El certificado debe estar en formato .pem.
   Opcional:secondary-certificate-example-pem-format	El certificado de copia de seguridad que emite el proveedor de identidad SAML. Se utiliza si la validación de firma falla con el certificado primario. Nota: Si la clave de firma sigue siendo la misma, App ID no bloquea la autenticación de certificados caducados.
   Opcional:authnContext	El contexto de autenticación se utiliza para verificar la calidad de la autenticación y de las aserciones SAML. Puede añadir un contexto de autenticación añadiendo una matriz de clase y una serie de comparación al código. ASEGÚRESE de actualizar los parámetros class y comparison con sus valores. Por ejemplo, el parámetro class podría ser algo como urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Opcional:signRequest	El distintivo signRequest ofrece la posibilidad de enviar una solicitud de SAML firmada a un proveedor de identidad que se ha firmado utilizando la clave privada de firma de SAML del arrendatario. Para configurar el proveedor de identidad SAML para que reciba una solicitud firmada, necesita el certificado de firma del archivo de metadatos que puede descargar en el campo KeyDescriptor use="signing". De forma predeterminada, la solicitud de firma está establecida en off.
   Opcional:encryptResponse	El distintivo encryptResponse le permite recibir una respuesta cifrada de su proveedor de identidad como parte de la solicitud de autenticación. Para configurar el proveedor de identidad de SAML para que envíe una respuesta cifrada, necesita el certificado de cifrado que puede encontrar en el archivo de metadatos, en el campo KeyDescriptor use="encryption". De forma predeterminada, el cifrado de respuesta está establecido en off.

3. Realice una solicitud PUT al punto final de la API /saml para proporcionar la configuración que creó en el paso 2 a App ID. Consulte el ejemplo siguiente ver cómo podría ser su solicitud.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

Configuración del inicio de sesión IdP-initiated con la API

Para configurar el inicio de sesión en IdP-initiated, siga estos pasos.

1. Para ver la configuración actual de SAML, incluidos el contexto de autenticación y los certificados, realice una solicitud GET al punto final de la API /saml.

   Código de ejemplo:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Salida de ejemplo:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Cree la configuración de SAML sustituyendo los valores del ejemplo siguiente por la información de su proveedor. Los valores que se muestran en el ejemplo son necesarios, pero puede elegir incluir más información como se muestra en la tabla.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variables de configuración

   Variable	Descripción
   signInUrl	El URL al que se redirige el usuario para su autenticación. Se aloja mediante el proveedor de identidad SAML.
   entityID	Nombre exclusivo globalmente para un proveedor de identidad SAML.
   displayName	El nombre que asigna a la configuración de SAML.
   primary-certificate-example-pem-format	El certificado emitido por el proveedor de identidad de SAML. Se utiliza para firmar y validar aserciones SAML. Todos los proveedores son distintos, pero podría descargar el certificado de firma desde el proveedor de identidad. El certificado debe estar en formato .pem.
   DefaultRelayState	El valor inicial para RelayState. Esta variable se configura en los valores del proveedor de identidades. Esta variable se puede utilizar para la redirección URL en lugar de idpRedirectUrl durante las solicitudes SAML de su proveedor de identidad. Si establece ambas variables, el valor de DefaultRelayState tiene prioridad. IdP-initiated el inicio de sesión falla si no se establece una de estas variables.
   idpInitEnabled	Un valor booleano para indicar si desea habilitar el inicio de sesión iniciado por IdP.
   idpRedirectUrl	El valor de este campo puede ser null, una cadena vacía o una redirección http o https válida URL. Nota: Si el valor de este campo es nulo, deberá establecer DefaultRelayState como redirección URL. Si establece ambas variables, el valor de DefaultRelayState tiene prioridad. IdP-initiated el inicio de sesión falla si no se establece una de estas variables.
   Opcional:secondary-certificate-example-pem-format	El certificado de copia de seguridad que emite el proveedor de identidad SAML. Se utiliza si la validación de firma falla con el certificado primario. Nota: Si la clave de firma sigue siendo la misma, App ID no bloquea la autenticación de certificados caducados.
   Opcional:authnContext	El contexto de autenticación se utiliza para verificar la calidad de la autenticación y de las aserciones SAML. Puede añadir un contexto de autenticación añadiendo una matriz de clase y una serie de comparación al código. ASEGÚRESE de actualizar los parámetros class y comparison con sus valores. Por ejemplo, el parámetro class podría ser algo como urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Opcional:signRequest	El distintivo signRequest ofrece la posibilidad de enviar una solicitud de SAML firmada a un proveedor de identidad que se ha firmado utilizando la clave privada de firma de SAML del arrendatario. Para configurar el proveedor de identidad SAML para que reciba una solicitud firmada, necesita el certificado de firma del archivo de metadatos que puede descargar en el campo KeyDescriptor use="signing". De forma predeterminada, la solicitud de firma está establecida en off.
   Opcional:encryptResponse	El distintivo encryptResponse le permite recibir una respuesta cifrada de su proveedor de identidad como parte de la solicitud de autenticación. Para configurar el proveedor de identidad de SAML para que envíe una respuesta cifrada, necesita el certificado de cifrado que puede encontrar en el archivo de metadatos, en el campo KeyDescriptor use="encryption". De forma predeterminada, el cifrado de respuesta está establecido en off.

3. Realice una solicitud PUT al punto final de la API /saml para proporcionar la configuración que creó en el paso 2 a App ID. Consulte el ejemplo siguiente ver cómo podría ser su solicitud.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }