签署 SAML 响应和断言之间的 OpenAM 关系

Question

我们在 OpenAM 配置中标记了 "Assertions Signed"，

并且如果来自 IDP 的 SAML 响应已签名但 SAML 断言未签名， OpenAM 会将此 SAML 响应视为有效的 SAML 响应吗？

注意：openam 版本 13.0.0

Answer 1

if the SAML response coming from IDP is signed and the SAML assertion is not signed, will OpenAM consider this SAML response as a valid SAMLResponse?

否，因为 SAML 响应签名不同于断言签名。

旁注：断言签名可以通过 SAML 元数据中的属性协商。 SAML 响应签名必须带外协商，因为 SAML 元数据规范尚未为其定义属性。

Answer 2

自从实施 OPENAM-7055 以来，AM 将把已签名的 SAML 响应视为断言本身已签名。 JIRA 问题已将修复版本设置为 13.0.0，因此此行为在该版本中应该已经正确。