尝试访问 Shibboleth SP 元数据时出现 500 错误

Question

我正在尝试使用 samltest.id IdP 配置 Shibboleth SP。我的设置如下：

Windows 服务器 2008 R2，IIS7.5，Shibboleth SP 3.0

我几乎一切正常 - 当尝试访问受保护的页面时，它正确地将用户重定向到 samltest 页面，并且 samltest 返回正确的 "Web Login Service - Unsupported Request" 错误，因为我没有配置我的SP 与 samltest.

我尝试使用 https://samltest.id/upload.php 上传我的配置，但此时我碰壁了。 fetch 选项根本不起作用，我敢肯定这是因为根本没有生成元数据文件。尝试从 https://{MySite}/Shibboleth.sso/Metadata 生成上述文件会出现 500 错误，我无法在任何地方找到任何信息来告诉我为什么会发生这种情况。

我检查了 Windows 事件查看器、IIS 日志文件、shibd 日志文件 - 没有任何迹象表明我做错了什么。

这是我的 shibboleth.xml 文件的精简版，以防我遗漏了一些明显的东西：

<SPConfig xmlns="urn:mace:shibboleth:3.0:native:sp:config" xmlns:conf="urn:mace:shibboleth:3.0:native:sp:config" clockSkew="180">
<OutOfProcess tranLogFormat="%u|%s|%IDP|%i|%ac|%t|%attr|%n|%b|%E|%S|%SS|%L|%UA|%a" />
<InProcess>
    <ISAPI normalizeRequest="true" safeHeaderNames="true">
        <Site id="{MySiteID}" name="{MySite}" scheme="https" port="443"/>
    </ISAPI>
</InProcess>
<RequestMapper type="Native">
    <RequestMap>
        <Host name="{MySite}">
            <Path name="content" authType="shibboleth" requireSession="true"/>
        </Host>
    </RequestMap>
</RequestMapper>
<ApplicationDefaults entityID="https://{MySite}/shibboleth" REMOTE_USER="eppn subject-id pairwise-id persistent-id" cipherSuites="DEFAULT:!EXP:!LOW:!aNULL:!eNULL:!DES:!IDEA:!SEED:!RC4:!3DES:!kRSA:!SSLv2:!SSLv3:!TLSv1:!TLSv1.1">
    <Sessions lifetime="28800" timeout="3600" relayState="ss:mem" checkAddress="true" handlerSSL="true" cookieProps="https">
        <SSO entityID="https://samltest.id/saml/idp">SAML2</SSO>
        <Logout>SAML2 Local</Logout>
    </Sessions>
    <Errors supportContact="{MyEmail}" helpLocation="/error.aspx" styleSheet="/styles/style.css"/>
<MetadataProvider type="XML" validate="true" url="https://samltest.id/saml/idp" backingFilePath="SAMLtest.xml"></MetadataProvider>          
    <AttributeExtractor type="XML" validate="true" reloadChanges="false" path="attribute-map.xml"/>
    <AttributeFilter type="XML" validate="true" path="attribute-policy.xml"/>
    <CredentialResolver type="File" use="signing" key="sp-signing-key.pem" certificate="sp-signing-cert.pem"/>
    <CredentialResolver type="File" use="encryption" key="sp-encrypt-key.pem" certificate="sp-encrypt-cert.pem"/>
</ApplicationDefaults>
<SecurityPolicyProvider type="XML" validate="true" path="security-policy.xml"/>
<ProtocolProvider type="XML" validate="true" reloadChanges="false" path="protocols.xml"/>

如果有人对我可以在哪里查看有任何建议，我会很乐意。

Answer 1

对于任何遇到这个问题的人来说，我错过了一大堆 "Of course" 事情。

对于初学者来说，Shibboleth.sso 页面都只能从服务器内部访问。我一直在尝试从外部访问它们，默认情况下，对这些页面的外部请求被阻止。

当我尝试从服务器内部访问它们时，我得到了一个不同的错误 - "Shibboleth handler invoked at an unconfigured location"。原因是，在我的 shibboleth2.xml 文件中，我没有尝试访问的路径的处理程序映射。例如，/Metadata 页面需要 Handler 映射，例如：

<Handler type="MetadataGenerator" Location="/Metadata" signing="false"/>

（不完全确定 signing="false" 条目的作用，我只是离开它 as-is）

Answer 2

我在启用 SELinux 时得到了这个（在 RHEL8 上安装）症状是来自 Apache 的 500 错误，shibd 日志不记录任何传入的请求。（奇怪的是，/Shibboleth.sso/Session url 确实有效）

检查 /var/log/audit 中的日志，在 /etcv/selinux/config 中设置 SELINUX=permissive（+重启）以查看是否是这个问题。

尝试访问 Shibboleth SP 元数据时出现 500 错误

500 error when trying to access Shibboleth SP Metadata

.net

shibboleth

iis-7.5

shibboleth-sp