在控制台中提供元数据

要从 IBM Cloud UI 登录到应用程序，请执行以下步骤。

1. 导航至 App ID 仪表板的 SAML 2.0 选项卡。

2. 添加 提供者名称。 缺省名称为 SAML。

3. 在提供来自 SAML IdP 的元数据部分中，输入您从身份提供者获取的以下元数据。

   必须提供给App ID的信息

   变量	描述
   Sign-in URL	为了进行认证而将用户重定向到的 URL。 它由 SAML 身份提供者托管。
   Entity ID	SAML 身份提供者的全局唯一名称。
   Primary certificate	SAML 身份提供者发放的证书。 用于签署和验证 SAML 断言。 所有提供者都不同，但您可能可以下载身份提供者的签名证书。 证书格式必须为 .pem。

4. 可选：提供在主证书上签名验证失败时使用的辅助证书。 如果签名密钥保持不变，那么 App ID 不会阻止对到期证书进行认证。

5. 单击保存。

要设置认证上下文？ 您可以通过 API 来执行此操作。

在控制台配置 IdP-initiated 登录

如果您想从身份提供商的用户界面登录IBM Cloud上的应用程序，可以选择启用IdP-initiated登录。

按照“在控制台中提供元数据”部分中的步骤 1-4 进行操作。 然后，完成以下流程。

5. 启用 IdP 启动的登录。
6. 输入 IdP 重定向 URL。
7. 单击保存。

使用应用程序接口提供元数据

1. 向 /saml API 端点发出 GET 请求，查看当前的 SAML 配置，包括身份验证上下文和证书。

   示例代码：

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   示例输出：

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 通过将以下示例中的值替换为提供者中的信息，以创建 SAML 配置。 示例中显示的值为必填值，但您也可以选择包含表中显示的更多信息。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 配置变量

   变量	描述
   signInUrl	为了进行认证而将用户重定向到的 URL。 它由 SAML 身份提供者托管。
   entityID	SAML 身份提供者的全局唯一名称。
   displayName	为 SAML 配置指定的名称。
   primary-certificate-example-pem-format	SAML 身份提供者发放的证书。 用于签署和验证 SAML 断言。 所有提供者都不同，但您可能可以下载身份提供者的签名证书。 证书格式必须为 .pem。
   可选：secondary-certificate-example-pem-format	由 SAML 身份提供商签发的备份证书。 如果使用主证书进行签名验证失败，那么会使用备份证书。 注意：如果签名密钥保持不变，App ID 不会阻止对过期证书的验证。
   可选：authnContext	认证上下文用于验证认证和 SAML 断言的质量。 可以通过向代码添加类数组和比较字符串来添加认证上下文。 确保使用您的值来更新 class 和 comparison 参数。 例如，class 参数可能与 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue 类似。
   可选：signRequest	signRequest 标志提供了向身份提供商发送已签名 SAML 请求的功能，该请求使用租户的 SAML 签名私钥签名。 要配置 SAML 身份提供程序以接收签名请求，需要元数据文件中的签名证书，可在 KeyDescriptor use="signing" 字段中下载。 缺省情况下，请求签名设置为 off。
   可选：encryptResponse	encryptResponse 标志允许您从身份供应商处接收加密响应，作为身份验证请求的一部分。 要配置 SAML 身份提供程序以发送加密响应，需要使用加密证书，该证书可在 KeyDescriptor use="encryption" 字段的元数据文件中找到。 缺省情况下，响应加密设置为 off。

3. 向 /saml API 端点发出 PUT 请求，向 App ID 提供在步骤 2 中创建的配置。 请查看以下示例以了解请求可能会是什么样子。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

使用应用程序接口配置IdP-initiated登录

要配置 IdP-initiated 登录，请完成以下步骤。

1. 向 /saml API 端点发出 GET 请求，查看当前的 SAML 配置，包括身份验证上下文和证书。

   示例代码：

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   示例输出：

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 通过将以下示例中的值替换为提供者中的信息，以创建 SAML 配置。 示例中显示的值为必填值，但您也可以选择包含表中显示的更多信息。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 配置变量

   变量	描述
   signInUrl	为了进行认证而将用户重定向到的 URL。 它由 SAML 身份提供者托管。
   entityID	SAML 身份提供者的全局唯一名称。
   displayName	为 SAML 配置指定的名称。
   primary-certificate-example-pem-format	SAML 身份提供者发放的证书。 用于签署和验证 SAML 断言。 所有提供者都不同，但您可能可以下载身份提供者的签名证书。 证书格式必须为 .pem。
   DefaultRelayState	RelayState 的初始值。 此变量是在身份提供者的设置中配置的。 在身份提供商发出 SAML 请求时，该变量可用于重定向 URL，而不是 idpRedirectUrl。 如果设置这两个变量，那么 DefaultRelayState 的值优先。 如果不设置其中一个变量，IdP-initiated登录就会失败。
   idpInitEnabled	一个布尔值，用于指示是否要启用 IdP 启动的登录。
   idpRedirectUrl	该字段的值可以是 null、空字符串或有效的 http 或 https 重定向 URL。 注意：如果该字段的值为空，则必须将 DefaultRelayState 设置为重定向 URL。 如果设置这两个变量，那么 DefaultRelayState 的值优先。 如果不设置其中一个变量，IdP-initiated登录就会失败。
   可选：secondary-certificate-example-pem-format	由 SAML 身份提供商签发的备份证书。 如果使用主证书进行签名验证失败，那么会使用备份证书。 注意：如果签名密钥保持不变，App ID 不会阻止对过期证书的验证。
   可选：authnContext	认证上下文用于验证认证和 SAML 断言的质量。 可以通过向代码添加类数组和比较字符串来添加认证上下文。 确保使用您的值来更新 class 和 comparison 参数。 例如，class 参数可能与 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue 类似。
   可选：signRequest	signRequest 标志提供了向身份提供商发送已签名 SAML 请求的功能，该请求使用租户的 SAML 签名私钥签名。 要配置 SAML 身份提供程序以接收签名请求，需要元数据文件中的签名证书，可在 KeyDescriptor use="signing" 字段中下载。 缺省情况下，请求签名设置为 off。
   可选：encryptResponse	encryptResponse 标志允许您从身份供应商处接收加密响应，作为身份验证请求的一部分。 要配置 SAML 身份提供程序以发送加密响应，需要使用加密证书，该证书可在 KeyDescriptor use="encryption" 字段的元数据文件中找到。 缺省情况下，响应加密设置为 off。

3. 向 /saml API 端点发出 PUT 请求，向 App ID 提供在步骤 2 中创建的配置。 请查看以下示例以了解请求可能会是什么样子。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }