Fornecimento de metadados no console

Para efetuar login em seus aplicativos da IU do IBM Cloud, siga estas etapas.

1. Navegue para a guia SAML 2.0 do painel App ID.

2. Inclua o Nome do provedor O nome padrão é SAML.

3. Insira os metadados a seguir obtidos a partir do provedor de identidade na seção Fornecer Metadados da SAML IdP.

   As informações que devem ser fornecidas para App ID

   Variável	Descrição
   Sign-in URL	A URL para a qual o usuário é redirecionado para autenticação. Ela é hospedada por seu provedor de identidade SAML.
   Entity ID	O nome globalmente exclusivo para um provedor de identidade SAML.
   Primary certificate	O certificado emitido por seu provedor de identidade SAML. Ele é usado para assinar e validar asserções SAML. Todos os provedores são diferentes, mas você pode ser capaz de fazer download do certificado de assinatura do seu provedor de identidade. O certificado deve estar no formato .pem.

4. Opcional: forneça um Certificado secundário que é usado se a validação da assinatura falha no certificado primário. Se a chave de assinatura permanece a mesma, o App ID não bloqueia a autenticação para certificados expirados.

5. Clique em Salvar.

Deseja configurar um contexto de autenticação? É possível fazer isso por meio da API.

Configuração do login IdP-initiated no console

Opcionalmente, se você quiser fazer login em seus aplicativos no IBM Cloud a partir da interface do usuário do seu provedor de identidade, poderá ativar o login IdP-initiated.

Siga as etapas 1 a 4 na seção Fornecimento de metadados no console. Em seguida, conclua o seguinte processo.

5. Ative o IdP login iniciado.
6. Digite o redirecionamento IdP URL.
7. Clique em Salvar.

Fornecendo Metadados com a API

1. Veja sua configuração atual do SAML, incluindo o contexto de autenticação e os certificados, fazendo uma solicitação GET para o ponto de extremidade da API /saml.

   Código de exemplo:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Saída de exemplo:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Crie sua configuração SAML substituindo os valores no exemplo a seguir pelas informações de seu provedor. Os valores que são mostrados no exemplo são necessários, mas é possível optar por incluir mais informações, como mostrado na tabela.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variáveis de configuração

   Variável	Descrição
   signInUrl	A URL para a qual o usuário é redirecionado para autenticação. Ela é hospedada por seu provedor de identidade SAML.
   entityID	O nome globalmente exclusivo para um provedor de identidade SAML.
   displayName	O nome designado à sua configuração SAML.
   primary-certificate-example-pem-format	O certificado emitido por seu provedor de identidade SAML. Ele é usado para assinar e validar asserções SAML. Todos os provedores são diferentes, mas você pode ser capaz de fazer download do certificado de assinatura do seu provedor de identidade. O certificado deve estar no formato .pem.
   Opcional: secondary-certificate-example-pem-format	O certificado de backup que é emitido por seu provedor de identidade SAML. Ele será usado se a validação de assinatura falhar com o certificado primário. Nota: se a chave de assinatura permanecer a mesma, o App ID não bloqueará a autenticação para certificados expirados.
   Opcional: authnContext	O contexto de autenticação é usado para verificar a qualidade das asserções de autenticação e SAML. É possível incluir um contexto de autenticação, incluindo uma matriz de classe e uma sequência de comparação no código. Certifique-se de atualizar os parâmetros class e comparison com seus valores. Por exemplo, um parâmetro class pode parecer semelhante a urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Opcional: signRequest	O sinalizador signRequest fornece a capacidade de enviar uma solicitação SAML assinada para um provedor de identidade que é assinado usando a chave privada de assinatura SAML do locatário. Para configurar seu provedor de identidade SAML para receber uma solicitação assinada, é necessário o certificado de assinatura do arquivo de metadados que pode ser transferido por download no campo KeyDescriptor use="signing". Por padrão, a assinatura de solicitação é configurada como off.
   Opcional: encryptResponse	O sinalizador encryptResponse permite que você receba uma resposta criptografada de seu provedor de identidade como parte da solicitação de autenticação. Para configurar seu provedor de identidade SAML para enviar uma resposta criptografada, é necessário o certificado de criptografia que pode ser localizado no arquivo de metadados no campo KeyDescriptor use="encryption". Por padrão, a criptografia de resposta é configurada como off.

3. Faça uma solicitação PUT para o endpoint da API /saml para fornecer a configuração que você criou na etapa 2 para App ID. Verifique o exemplo a seguir para ver como sua solicitação pode parecer.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

Configuração do login IdP-initiated com a API

Para configurar o login IdP-initiated, conclua as etapas a seguir.

1. Veja sua configuração atual do SAML, incluindo o contexto de autenticação e os certificados, fazendo uma solicitação GET para o ponto de extremidade da API /saml.

   Código de exemplo:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   Saída de exemplo:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. Crie sua configuração SAML substituindo os valores no exemplo a seguir pelas informações de seu provedor. Os valores que são mostrados no exemplo são necessários, mas é possível optar por incluir mais informações, como mostrado na tabela.

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML variáveis de configuração

   Variável	Descrição
   signInUrl	A URL para a qual o usuário é redirecionado para autenticação. Ela é hospedada por seu provedor de identidade SAML.
   entityID	O nome globalmente exclusivo para um provedor de identidade SAML.
   displayName	O nome designado à sua configuração SAML.
   primary-certificate-example-pem-format	O certificado emitido por seu provedor de identidade SAML. Ele é usado para assinar e validar asserções SAML. Todos os provedores são diferentes, mas você pode ser capaz de fazer download do certificado de assinatura do seu provedor de identidade. O certificado deve estar no formato .pem.
   DefaultRelayState	O valor inicial para RelayState. Essa variável é definida nas configurações do provedor de identidade. Essa variável pode ser usada para o redirecionamento URL em vez de idpRedirectUrl durante as solicitações SAML do seu provedor de identidade. Se você configurar ambas as variáveis, o valor de DefaultRelayState terá precedência. IdP-initiated o login falhará se você não definir uma dessas variáveis.
   idpInitEnabled	Um booleano para indicar se você deseja ativar o login iniciado pelo IdP
   idpRedirectUrl	O valor desse campo pode ser null, uma cadeia de caracteres vazia ou um redirecionamento http ou https válido URL. Observação: se o valor desse campo for nulo, você deverá definir o endereço DefaultRelayState como o redirecionamento URL. Se você configurar ambas as variáveis, o valor de DefaultRelayState terá precedência. IdP-initiated o login falhará se você não definir uma dessas variáveis.
   Opcional: secondary-certificate-example-pem-format	O certificado de backup que é emitido por seu provedor de identidade SAML. Ele será usado se a validação de assinatura falhar com o certificado primário. Nota: se a chave de assinatura permanecer a mesma, o App ID não bloqueará a autenticação para certificados expirados.
   Opcional: authnContext	O contexto de autenticação é usado para verificar a qualidade das asserções de autenticação e SAML. É possível incluir um contexto de autenticação, incluindo uma matriz de classe e uma sequência de comparação no código. Certifique-se de atualizar os parâmetros class e comparison com seus valores. Por exemplo, um parâmetro class pode parecer semelhante a urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue.
   Opcional: signRequest	O sinalizador signRequest fornece a capacidade de enviar uma solicitação SAML assinada para um provedor de identidade que é assinado usando a chave privada de assinatura SAML do locatário. Para configurar seu provedor de identidade SAML para receber uma solicitação assinada, é necessário o certificado de assinatura do arquivo de metadados que pode ser transferido por download no campo KeyDescriptor use="signing". Por padrão, a assinatura de solicitação é configurada como off.
   Opcional: encryptResponse	O sinalizador encryptResponse permite que você receba uma resposta criptografada de seu provedor de identidade como parte da solicitação de autenticação. Para configurar seu provedor de identidade SAML para enviar uma resposta criptografada, é necessário o certificado de criptografia que pode ser localizado no arquivo de metadados no campo KeyDescriptor use="encryption". Por padrão, a criptografia de resposta é configurada como off.

3. Faça uma solicitação PUT para o endpoint da API /saml para fornecer a configuração que você criou na etapa 2 para App ID. Verifique o exemplo a seguir para ver como sua solicitação pode parecer.

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }