如何在基于 SimpleSAMLphp 的 IdP 中用属性替换 NameId 的值？

Question

我正在尝试设置 SimpleSAMLphp IdP 以将 SAML 响应发送到我的本地开发服务器（在本例中为 SP 启动的流程）。此 IdP 基于来自 https://hub.docker.com/r/kristophjunge/test-saml-idp/ 的 Docker 图像（我相信是 1.15 版）。

整个设置是为了模拟我所拥有的类似环境，其中 G Suite IdP 用于同一个本地开发 SP - 试图最终从我的本地开发环境中消除云依赖并将其替换为等效的 SimpleSAMLphp 一个.

我遇到的问题是 Google 在其 SAML 响应中发送 NameId，如下所示：

<saml2:Subject> 
    <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">a.b@c.com</saml2:NameID> 
                  <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> 
                     <saml2:SubjectConfirmationData InResponseTo="ONELOGIN_88ebd953f02c07d01b19714cd70133827ff1228e" NotOnOrAfter="2018-05-07T20:21:25.433Z" .                         Recipient="https://ee0138c4.ngrok.io/saml/?acs" /> 
</saml2:SubjectConfirmation>
</saml2:Subject>

但是 SimpleSAMLphp 却以这种格式发送它：

<saml:Subject> 
<saml:NameID SPNameQualifier="https://ee0138c4.ngrok.io/saml/metadata" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">_69d05500bd6e797de3674df0165facbfa0af699589</saml:NameID> 
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> <saml:SubjectConfirmationData NotOnOrAfter="2018-05-09T17:47:57Z" Recipient="https://ee0138c4.ngrok.io/saml/?acs" InResponseTo="ONELOGIN_170bb7a0ff82100318ba498583e8e59cdae8607b" /> 
</saml:SubjectConfirmation> 
</saml:Subject>

我需要它是一个属性值

(a.b@c.com 而不是 _69d05500bd6e797de3674df0165facbfa0af699589)

然后我可以在我的 SP 逻辑中获取它，而不是它发送一些随机数，我假设它是一个 transientId。

这是我的配置：

要启动 Docker 容器：

docker run --name=testsamlidp_idp \
-p 8080:8080 \
-p 8443:8443 \
-e SIMPLESAMLPHP_SP_ENTITY_ID=https://ee0138c4.ngrok.io/saml/metadata \
-e SIMPLESAMLPHP_SP_ASSERTION_CONSUMER_SERVICE=https://ee0138c4.ngrok.io/saml/?acs  \
-e SIMPLESAMLPHP_SP_SINGLE_LOGOUT_SERVICE=http://localhost/simplesaml/module.php/saml/sp/saml2-logout.php/test-sp \
-v $(pwd)/users.php:/var/www/simplesamlphp/config/authsources.php \
-v $(pwd)/_saml20-sp-remote.php:/var/www/simplesamlphp/config/saml20-sp-remote.php \
-d kristophjunge/test-saml-idp

其中 users.php 包含：

<?php
$config = array(
    'admin' => array(
        'core:AdminPassword',
    ),
    'example-userpass' => array(
        'exampleauth:UserPass',
        'user1:user1pass' => array(
            'uid' => array('1'),
            'Groups' => array('group1','group2', 'group3'),
            'email' => 'user1@example.com',
        ),
        'user2:user2pass' => array(
            'uid' => array('2'),
            'Groups' => array('group2', 'group4', 'group5'),
            'email' => 'user2@example.com',
        ),
    ),
);

和_saml20-sp-remote.php是：

<?php
/**
 * SAML 2.0 remote SP metadata for SimpleSAMLphp.
 *
 * See: https://simplesamlphp.org/docs/stable/simplesamlphp-reference-sp-remote
 */
$metadata[getenv('SIMPLESAMLPHP_SP_ENTITY_ID')] = array(

    'AssertionConsumerService' => getenv('SIMPLESAMLPHP_SP_ASSERTION_CONSUMER_SERVICE'),
    'SingleLogoutService' => getenv('SIMPLESAMLPHP_SP_SINGLE_LOGOUT_SERVICE'),

    #'NameIDFormat' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:persistent',
      #'simplesaml.nameidattribute' => 'email',
      #'simplesaml.attributes' => FALSE,

    'authproc.idp' => array(
            /* Filter to create a NameID with the "unspecified" format. */
            3 => array(
                'class' => 'saml:AtrributeNameID',
                'attribute' => 'email',
                'Format' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress',
            ),
        ),
        /* Select the unspecified NameID format by default. */
        'NameIDFormat' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified',

);

我假设这是后一个文件中的某种配置错误，也许有人可以帮助我查明它的真相。

提前谢谢你。

Answer 1

以下设置对我有用：

Docker 启动脚本：

docker run --name=testsamlidp_idp \
-p 8080:8080 \
-p 8443:8443 \
-e SIMPLESAMLPHP_SP_ENTITY_ID=https://ee0138c4.ngrok.io/saml/metadata \
-e SIMPLESAMLPHP_SP_ASSERTION_CONSUMER_SERVICE=https://ee0138c4.ngrok.io/saml/?acs  \
-e SIMPLESAMLPHP_SP_SINGLE_LOGOUT_SERVICE=http://localhost/simplesaml/module.php/saml/sp/saml2-logout.php/test-sp \
-v $(pwd)/users.php:/var/www/simplesamlphp/config/authsources.php \
-v $(pwd)/saml20-idp-hosted.php:/var/www/simplesamlphp/metadata/saml20-idp-hosted.php \
-d kristophjunge/test-saml-idp

`saml20-idp-hosted.php` 在 `/var/www/simplesamlphp/metadata/saml20-idp-hosted.php` 在 Docker 容器

<?php

$metadata['__DYNAMIC:1__'] = array(
    /*
     * The hostname of the server (VHOST) that will use this SAML entity.
     *
     * Can be '__DEFAULT__', to use this entry by default.
     */
    'host' => '__DEFAULT__',
    // X.509 key and certificate. Relative to the cert directory.
    'privatekey' => 'server.pem',
    'certificate' => 'server.crt',
    /*
     * Authentication source to use. Must be one that is configured in
     * 'config/authsources.php'.
     */
    'auth' => 'example-userpass',

  'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',


// refer to https://simplesamlphp.org/docs/stable/saml:nameid
'authproc' => array(
  3 => array(
          'class' => 'saml:AttributeNameID',
          'attribute' => 'email',
          'Format' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',
      ),
  ),

);

NameIDFormat 和 Format 都是必需的。 email 应对应于

中指定的属性

`authsources.php` 在 Docker 容器的 `/var/www/simplesamlphp/config` 中：

<?php
$config = array(
    'admin' => array(
        'core:AdminPassword',
    ),
    'example-userpass' => array(
        'exampleauth:UserPass',
        'user1:user1pass' => array(
            'uid' => array('1'),
            'Groups' => array('group1','group2', 'group3'),
            'email' => 'user1@example.com',
        ),
        'user2:user2pass' => array(
            'uid' => array('2'),
            'Groups' => array('group2', 'group4', 'group5'),
            'email' => 'user2@example.com',
        ),
    ),
);

关于如何到达它的总体思路是 有点 documented 但该文档不适合胆小的人，当然欢迎介绍有关事物为何如此的基本原理的部分。

如何在基于 SimpleSAMLphp 的 IdP 中用属性替换 NameId 的值？

How to replace a value of NameId with attribute in SimpleSAMLphp-based IdP?

php

docker

saml

saml-2.0

simplesamlphp

Docker 启动脚本：

`saml20-idp-hosted.php` 在 `/var/www/simplesamlphp/metadata/saml20-idp-hosted.php` 在 Docker 容器

`authsources.php` 在 Docker 容器的 `/var/www/simplesamlphp/config` 中：

如何在基于 SimpleSAMLphp 的 IdP 中用属性替换 NameId 的值？

How to replace a value of NameId with attribute in SimpleSAMLphp-based IdP?

php

docker

saml

saml-2.0

simplesamlphp

Docker 启动脚本：

saml20-idp-hosted.php 在 /var/www/simplesamlphp/metadata/saml20-idp-hosted.php 在 Docker 容器

authsources.php 在 Docker 容器的 /var/www/simplesamlphp/config 中：

`saml20-idp-hosted.php` 在 `/var/www/simplesamlphp/metadata/saml20-idp-hosted.php` 在 Docker 容器

`authsources.php` 在 Docker 容器的 `/var/www/simplesamlphp/config` 中：