콘솔에서 메타데이터 제공

IBM Cloud UI에서 애플리케이션에 로그인하려면 다음 단계를 따르십시오.

1. App ID 대시보드의 SAML 2.0 탭으로 이동하십시오.

2. 제공자 이름을 추가하십시오. 기본 이름은 SAML입니다.

3. SAML IdP의 메타데이터 제공 섹션에 다음과 같이 ID 제공자로부터 얻은 메타데이터를 입력하십시오.

   App ID 제공해야 하는 정보입니다

   가변	설명
   Sign-in URL	인증을 위해 사용자가 경로 재지정되는 URL입니다. 이는 SAML ID 제공자에 의해 호스팅됩니다.
   Entity ID	SAML ID 제공자의 글로벌한 고유 이름입니다.
   Primary certificate	SAML ID 제공자가 발행한 인증서입니다. 이는 SAML 어설션을 서명하고 유효성 검증하는 데 사용됩니다. 모든 제공자가 서로 다르지만, ID 제공자로부터 서명 인증서의 다운로드가 가능합니다. 인증서는 .pem 형식이어야 합니다.

4. 선택사항: 기본 인증서에서 서명 유효성 검증이 실패하는 경우에 사용되는 보조 인증서를 제공하십시오. 서명 키가 동일하게 유지되면 App ID는 만료된 인증서에 대해 인증을 차단하지 않습니다.

5. 저장 을 클릭하십시오.

인증 컨텍스트를 설정하시겠습니까? API를 통해 해당 작업을 수행할 수 있습니다.

콘솔에서 IdP-initiated 로그인 구성하기

선택 사항으로, ID 공급자의 UI에서 IBM Cloud 애플리케이션에 로그인하려는 경우, IdP-initiated 로그인을 사용하도록 설정할 수 있습니다.

콘솔에서 메타데이터 제공 섹션의 1~4단계를 따르세요. 그런 다음 다음 프로세스를 완료합니다.

5. IdP 시작 로그인을 사용으로 설정하십시오.
6. IdP 리디렉션 URL 입력하세요.
7. 저장 을 클릭하십시오.

API로 메타데이터 제공

1. /saml API 엔드포인트에 GET 요청을 보내 인증 컨텍스트 및 인증서를 포함한 현재 SAML 구성을 확인합니다.

   코드 예제:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   출력 예:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 다음 예의 값을 제공자가 제공한 정보로 대체하여 SAML 구성을 작성하십시오. 예제에 표시된 값은 필수지만, 표에 표시된 추가 정보를 포함하도록 선택할 수 있습니다.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 구성 변수

   가변	설명
   signInUrl	인증을 위해 사용자가 경로 재지정되는 URL입니다. 이는 SAML ID 제공자에 의해 호스팅됩니다.
   entityID	SAML ID 제공자의 글로벌한 고유 이름입니다.
   displayName	SAML 구성에 지정한 이름입니다.
   primary-certificate-example-pem-format	SAML ID 제공자가 발행한 인증서입니다. 이는 SAML 어설션을 서명하고 유효성 검증하는 데 사용됩니다. 모든 제공자가 서로 다르지만, ID 제공자로부터 서명 인증서의 다운로드가 가능합니다. 인증서는 .pem 형식이어야 합니다.
   선택사항:secondary-certificate-example-pem-format	SAML ID 제공자가 발행한 백업 인증서. 기본 인증서의 서명 유효성 검증이 실패할 경우에 사용됩니다. 고: 서명 키가 동일하게 유지되면 App ID는 만료된 인증서에 대한 인증을 차단하지 않습니다.
   선택사항:authnContext	인증 컨텍스트는 인증 및 SAML 어설션의 품질을 확인하는 데 사용됩니다. 코드에 클래스 배열 및 비교 문자열을 추가하여 인증 컨텍스트를 추가할 수 있습니다. class 및 comparison 매개변수를 둘 다 사용자의 고유한 값으로 업데이트해야 합니다. 예를 들어 class 매개변수는 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue와 유사할 수 있습니다.
   선택사항:signRequest	signRequest 플래그에서는 테넌트의 SAML 서명 개인 키를 사용하여 서명하는 ID 제공자에 서명된 SAML 요청을 보내는 기능을 제공합니다. 서명된 요청을 받도록 SAML ID 제공자를 구성하려면 KeyDescriptor use="signing" 필드에 다운로드할 수 있는 메타데이터 파일의 서명 인증서가 필요합니다. 기본적으로 요청 서명은 off로 설정됩니다.
   선택사항:encryptResponse	encryptResponse 플래그를 사용하면 인증 요청의 일부로 ID 제공자로부터 암호화된 응답을 받을 수 있습니다. 암호화된 응답을 보내도록 SAML ID 제공자를 구성하려면 KeyDescriptor use="encryption" 필드에 있는 메타데이터 파일에서 찾을 수 있는 암호화 인증서가 필요합니다. 기본적으로 응답 암호화는 off로 설정됩니다.

3. /saml API 엔드포인트에 PUT 요청을 보내 2단계에서 생성한 구성을 App ID 에 제공합니다. 사용자의 요청을 살펴보려면 다음 예를 확인하십시오.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

API로 IdP-initiated 로그인 구성하기

IdP-initiated 로그인을 구성하려면 다음 단계를 완료합니다.

1. /saml API 엔드포인트에 GET 요청을 보내 인증 컨텍스트 및 인증서를 포함한 현재 SAML 구성을 확인합니다.

   코드 예제:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   출력 예:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 다음 예의 값을 제공자가 제공한 정보로 대체하여 SAML 구성을 작성하십시오. 예제에 표시된 값은 필수지만, 표에 표시된 추가 정보를 포함하도록 선택할 수 있습니다.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 구성 변수

   가변	설명
   signInUrl	인증을 위해 사용자가 경로 재지정되는 URL입니다. 이는 SAML ID 제공자에 의해 호스팅됩니다.
   entityID	SAML ID 제공자의 글로벌한 고유 이름입니다.
   displayName	SAML 구성에 지정한 이름입니다.
   primary-certificate-example-pem-format	SAML ID 제공자가 발행한 인증서입니다. 이는 SAML 어설션을 서명하고 유효성 검증하는 데 사용됩니다. 모든 제공자가 서로 다르지만, ID 제공자로부터 서명 인증서의 다운로드가 가능합니다. 인증서는 .pem 형식이어야 합니다.
   DefaultRelayState	RelayState 의 초기값입니다. 이 변수는 ID 제공자의 설정에서 구성됩니다. 이 변수는 ID 공급자의 SAML 요청 시 idpRedirectUrl 대신 URL 리디렉션에 사용할 수 있습니다. 두 변수를 모두 설정하면 DefaultRelayState 의 값이 우선합니다. IdP-initiated 이 변수 중 하나를 설정하지 않으면 로그인에 실패합니다.
   idpInitEnabled	IdP 시작 로그인을 사용으로 설정할지 여부를 표시하는 부울입니다.
   idpRedirectUrl	이 필드의 값은 null, 비어 있는 문자열 또는 유효한 http 또는 https 리디렉션 URL 일 수 있습니다. 참고: 이 필드 값이 null인 경우 DefaultRelayState 을 리디렉션으로 설정해야 합니다 URL. 두 변수를 모두 설정하면 DefaultRelayState 의 값이 우선합니다. IdP-initiated 이 변수 중 하나를 설정하지 않으면 로그인에 실패합니다.
   선택사항:secondary-certificate-example-pem-format	SAML ID 제공자가 발행한 백업 인증서. 기본 인증서의 서명 유효성 검증이 실패할 경우에 사용됩니다. 고: 서명 키가 동일하게 유지되면 App ID는 만료된 인증서에 대한 인증을 차단하지 않습니다.
   선택사항:authnContext	인증 컨텍스트는 인증 및 SAML 어설션의 품질을 확인하는 데 사용됩니다. 코드에 클래스 배열 및 비교 문자열을 추가하여 인증 컨텍스트를 추가할 수 있습니다. class 및 comparison 매개변수를 둘 다 사용자의 고유한 값으로 업데이트해야 합니다. 예를 들어 class 매개변수는 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue와 유사할 수 있습니다.
   선택사항:signRequest	signRequest 플래그에서는 테넌트의 SAML 서명 개인 키를 사용하여 서명하는 ID 제공자에 서명된 SAML 요청을 보내는 기능을 제공합니다. 서명된 요청을 받도록 SAML ID 제공자를 구성하려면 KeyDescriptor use="signing" 필드에 다운로드할 수 있는 메타데이터 파일의 서명 인증서가 필요합니다. 기본적으로 요청 서명은 off로 설정됩니다.
   선택사항:encryptResponse	encryptResponse 플래그를 사용하면 인증 요청의 일부로 ID 제공자로부터 암호화된 응답을 받을 수 있습니다. 암호화된 응답을 보내도록 SAML ID 제공자를 구성하려면 KeyDescriptor use="encryption" 필드에 있는 메타데이터 파일에서 찾을 수 있는 암호화 인증서가 필요합니다. 기본적으로 응답 암호화는 off로 설정됩니다.

3. /saml API 엔드포인트에 PUT 요청을 보내 2단계에서 생성한 구성을 App ID 에 제공합니다. 사용자의 요청을 살펴보려면 다음 예를 확인하십시오.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }