在主控台中提供元資料

若要從 IBM Cloud 使用者介面登入應用程式，請遵循下列步驟。

1. 導覽至 App ID 儀表板的 SAML 2.0 標籤。

2. 新增 提供者名稱。 預設名稱為 SAML。

3. 在提供來自 SAML IdP 的 meta 資料區段中，輸入您從身分提供者取得的下列 meta 資料。

   必須提供給App ID的資訊

   變數	說明
   Sign-in URL	將使用者重新導向以進行鑑別的 URL。 它是由您的 SAML 身分提供者進行管理。
   Entity ID	SAML 身分提供者的廣域唯一名稱。
   Primary certificate	SAML 身分提供者所發出的憑證。 它用於簽署及驗證 SAML 主張。 所有提供者都不同，但您可能可以從身分提供者下載簽署憑證。 證書必須是 .pem 格式。

4. 選用項目：提供在主要憑證上簽章驗證失敗時所使用的次要憑證。 如果簽署金鑰保持相同，則 App ID 不會封鎖過期憑證的鑑別。

5. 按一下儲存。

想要設定鑑別環境定義嗎？ 您可以透過 API 這樣做。

在主控台中設定 IdP-initiated 登入

或者，如果您想要從身分識別提供者的 UI 登入IBM Cloud上的應用程序，您可以啟用IdP-initiated登入。

遵循 在主控台中提供元數據 部分中的步驟 1 - 4。 然後，完成下列程序。

5. 啟用 IdP 起始登入。
6. 輸入 IdP 重定向 URL。
7. 按一下儲存。

使用 API 提供元資料

1. 向 /saml API 端點提出 GET 請求，查看您目前的 SAML 設定，包括驗證上下文和憑證。

   程式碼範例：

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   輸出範例：

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 建立 SAML 配置，方法是將下列範例中的值取代為來自提供者的資訊。 範例中顯示的值是必填的，但您可以選擇包含更多資訊，如表中所示。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 組態變數

   變數	說明
   signInUrl	將使用者重新導向以進行鑑別的 URL。 它是由您的 SAML 身分提供者進行管理。
   entityID	SAML 身分提供者的廣域唯一名稱。
   displayName	指派給 SAML 配置的名稱。
   primary-certificate-example-pem-format	SAML 身分提供者所發出的憑證。 它用於簽署及驗證 SAML 主張。 所有提供者都不同，但您可能可以從身分提供者下載簽署憑證。 證書必須是 .pem 格式。
   選購：secondary-certificate-example-pem-format	由 SAML 身份提供者簽發的備份憑證。 它用於無法使用主要憑證驗證簽章的情況。 注意：如果簽章金鑰保持不變，App ID 就不會攔截過期憑證的驗證。
   選購：authnContext	鑑別環境定義是用來驗證鑑別及 SAML 主張的品質。 您可以將類別陣列和比較字串新增至您的程式碼，以新增鑑別環境定義。 請務必使用您的值同時更新 class 及 comparison 參數。 例如，class 參數可能與 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue 相似。
   選購：signRequest	signRequest 標誌提供向身分提供者傳送經簽署的 SAML 請求的能力，該請求是使用租戶的 SAML 簽署私密金鑰簽署的。 若要設定 SAML 身份提供者以接收已簽署的請求，您需要從元資料檔案中取得簽署憑證，您可在 KeyDescriptor use="signing" 欄位下載該憑證。 依預設，要求簽署設為 off。
   選購：encryptResponse	encryptResponse 標誌允許您接收身份供應商的加密回應，作為驗證請求的一部分。 要設定 SAML 身份提供者傳送加密回應，您需要在 KeyDescriptor use="encryption" 欄位的元資料檔案中找到加密證書。 依預設，回應加密設為 off。

3. 向 /saml API 端點提出 PUT 請求，將您在步驟 2 中建立的設定提供給 App ID。 請參閱下列範例，以瞭解要求可能的外觀。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

使用 API 設定IdP-initiated登入

若要設定 IdP-initiated 登入，請完成下列步驟。

1. 向 /saml API 端點提出 GET 請求，查看您目前的 SAML 設定，包括驗證上下文和憑證。

   程式碼範例：

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   輸出範例：

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 建立 SAML 配置，方法是將下列範例中的值取代為來自提供者的資訊。 範例中顯示的值是必填的，但您可以選擇包含更多資訊，如表中所示。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 組態變數

   變數	說明
   signInUrl	將使用者重新導向以進行鑑別的 URL。 它是由您的 SAML 身分提供者進行管理。
   entityID	SAML 身分提供者的廣域唯一名稱。
   displayName	指派給 SAML 配置的名稱。
   primary-certificate-example-pem-format	SAML 身分提供者所發出的憑證。 它用於簽署及驗證 SAML 主張。 所有提供者都不同，但您可能可以從身分提供者下載簽署憑證。 證書必須是 .pem 格式。
   DefaultRelayState	RelayState 的起始值。 此變數在您身分提供者的設定中配置。 在 SAML 請求時，這個變數可以用來重定向 URL，而不是 idpRedirectUrl。 如果您同時設定這兩個變數，則 DefaultRelayState 的值優先。 IdP-initiated 如果您沒有設定其中一個變數，登入就會失敗。
   idpInitEnabled	布林值，指出是否要啟用 IdP 起始登入。
   idpRedirectUrl	此欄位的值可以是 null、為空的字串，或是有效的 http 或 https 重定向 URL。 注意：如果此欄位的值為空，則必須設定 DefaultRelayState 為重定向 URL。 如果您同時設定這兩個變數，則 DefaultRelayState 的值優先。 IdP-initiated 如果您沒有設定其中一個變數，登入就會失敗。
   選購：secondary-certificate-example-pem-format	由 SAML 身份提供者簽發的備份憑證。 它用於無法使用主要憑證驗證簽章的情況。 注意：如果簽章金鑰保持不變，App ID 就不會攔截過期憑證的驗證。
   選購：authnContext	鑑別環境定義是用來驗證鑑別及 SAML 主張的品質。 您可以將類別陣列和比較字串新增至您的程式碼，以新增鑑別環境定義。 請務必使用您的值同時更新 class 及 comparison 參數。 例如，class 參數可能與 urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue 相似。
   選購：signRequest	signRequest 標誌提供向身分提供者傳送經簽署的 SAML 請求的能力，該請求是使用租戶的 SAML 簽署私密金鑰簽署的。 若要設定 SAML 身份提供者以接收已簽署的請求，您需要從元資料檔案中取得簽署憑證，您可在 KeyDescriptor use="signing" 欄位下載該憑證。 依預設，要求簽署設為 off。
   選購：encryptResponse	encryptResponse 標誌允許您接收身份供應商的加密回應，作為驗證請求的一部分。 要設定 SAML 身份提供者傳送加密回應，您需要在 KeyDescriptor use="encryption" 欄位的元資料檔案中找到加密證書。 依預設，回應加密設為 off。

3. 向 /saml API 端點提出 PUT 請求，將您在步驟 2 中建立的設定提供給 App ID。 請參閱下列範例，以瞭解要求可能的外觀。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }