CloudSSO：Konfigurasi SSO dari Shibboleth ke CloudSSO

Persiapan

Instal Shibboleth, Apache Tomcat, dan server yang diautentikasi menggunakan Lightweight Directory Access Protocol (LDAP).

Langkah 1: Unduh file metadata SAML SP dari Alibaba Cloud

1. Masuk ke Konsol CloudSSO.

2. Di panel navigasi sebelah kiri, klik Settings.

3. Di bagian SSO Logon, unduh file metadata penyedia layanan (SP) Security Assertion Markup Language (SAML) dan simpan sebagai /opt/shibboleth-idp/metadata/aliyun-cloudsso-metadata.xml.

   Simpan Entity ID dari SP untuk digunakan selanjutnya.

Langkah 2: Daftarkan Alibaba Cloud dengan Shibboleth

Konfigurasikan file metadata yang diperoleh di Langkah 1: Unduh File Metadata SAML SP dari Alibaba Cloud dalam file /opt/shibboleth-idp/conf/metadata-providers.xml untuk mendaftarkan Alibaba Cloud dengan Shibboleth.

<!--
    <MetadataProvider id="LocalMetadata"  xsi:type="FilesystemMetadataProvider" metadataFile="PATH_TO_YOUR_METADATA"/>
-->

<!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan ganti kode tersebut dengan kode yang ditampilkan pada baris berikutnya. -->

<MetadataProvider id="AliyunMetadata"  xsi:type="FilesystemMetadataProvider" metadataFile="%{idp.home}/metadata/aliyun-cloudsso-metadata.xml"/>

Langkah 3: Konfigurasikan atribut pengguna yang dikembalikan oleh Shibboleth

1. Ubah file /opt/shibboleth/conf/services.xml.

   File konfigurasi asli berisi bidang attribute-resolver.xml dan tidak menyediakan informasi konfigurasi lengkap. Ganti bidang tersebut dengan attribute-resolver-full.xml untuk memberikan informasi konfigurasi lengkap.

   <value>%{idp.home}/conf/attribute-resolver.xml</value>
   <!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan ganti kode tersebut dengan kode yang ditampilkan pada baris berikutnya. -->
   <value>%{idp.home}/conf/attribute-resolver-full.xml</value>

2. Ubah file /opt/shibboleth/conf/attribute-resolver-full.xml.

   1. Konfigurasikan atribut pengguna yang dikembalikan oleh Shibboleth dalam file /opt/shibboleth/conf/attribute-resolver-full.xml. Dalam contoh ini, bidang mail digunakan sebagai atribut pengguna.

      <!-- ========================================== -->
      <!--      Definisi Atribut                 -->
      <!-- ========================================== -->
      
      <!-- Skema: Atribut skema inti-->
      
      <!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan tambahkan kode yang ditampilkan pada baris berikutnya. -->
      
      <AttributeDefinition xsi:type="Simple" id="mail">
          <InputDataConnector ref="myLDAP" attributeNames="mail" />
          <AttributeEncoder xsi:type="SAML1String" name="urn:mace:dir:attribute-def:mail" encodeType="false" />
          <AttributeEncoder xsi:type="SAML2String" name="urn:oid:0.9.2342.19200300.100.1.3" friendlyName="mail" encodeType="false" />
      </AttributeDefinition>

   2. Baca informasi konfigurasi dalam /opt/shibboleth/conf/ldap.properties pada file /opt/shibboleth/conf/attribute-resolver-full.xml untuk menetapkan koneksi ke server LDAP.

      <!-- Contoh Konektor LDAP -->
      <!--
      	<DataConnector id="myLDAP" xsi:type="LDAPDirectory"
      		ldapURL="%{idp.attribute.resolver.LDAP.ldapURL}"
      		baseDN="%{idp.attribute.resolver.LDAP.baseDN}"
      		principal="%{idp.attribute.resolver.LDAP.bindDN}"
      		principalCredential="%{idp.attribute.resolver.LDAP.bindDNCredential}"
      		useStartTLS="%{idp.attribute.resolver.LDAP.useStartTLS:true}"
      		...
      	</DataConnector>
      -->
      
      <!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan ganti kode tersebut dengan kode yang ditampilkan pada baris berikutnya. -->
      
      <DataConnector id="myLDAP" xsi:type="LDAPDirectory"
      			   ldapURL="%{idp.attribute.resolver.LDAP.ldapURL}"
      			   baseDN="%{idp.attribute.resolver.LDAP.baseDN}"
      			   principal="%{idp.attribute.resolver.LDAP.bindDN}"
      			   principalCredential="%{idp.attribute.resolver.LDAP.bindDNCredential}"
      			   useStartTLS="%{idp.attribute.resolver.LDAP.useStartTLS}"
      			   connectTimeout="%{idp.attribute.resolver.LDAP.connectTimeout}"
      			   responseTimeout="%{idp.attribute.resolver.LDAP.responseTimeout}">
      	<FilterTemplate>
      		<![CDATA[
      				%{idp.attribute.resolver.LDAP.searchFilter}
      			]]>
      	</FilterTemplate>
      </DataConnector>

3. Tambahkan filter atribut ke file /opt/shibboleth/conf/attribute-filter.xml.

   Ganti atribut value dalam tag PolicyRequirementRule dengan Entity ID yang diperoleh di Langkah 1: Unduh File Metadata SAML SP dari Alibaba Cloud.

   <AttributeFilterPolicyGroup id="ShibbolethFilterPolicy"
   							xmlns="urn:mace:shibboleth:2.0:afp"
   							xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
   							xsi:schemaLocation="urn:mace:shibboleth:2.0:afp http://shibboleth.net/schema/idp/shibboleth-afp.xsd">
   	
   <!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan tambahkan kode yang ditampilkan pada baris berikutnya. -->
   	
   <AttributeFilterPolicy id="aliyun">
   	<PolicyRequirementRule xsi:type="Requester" value="[entityID]" />
   	<AttributeRule attributeID="mail">
   		<PermitValueRule xsi:type="ANY" />
   	</AttributeRule>
   </AttributeFilterPolicy>

Langkah 4: Konfigurasikan atribut NameID dalam respons SAML

1. Konfigurasikan atribut NameID dalam file /opt/shibboleth/conf/relying-party.xml.

   Ganti atribut relyingPartyIds dalam tag bean dengan Entity ID yang diperoleh di Langkah 1: Unduh File Metadata SAML SP dari Alibaba Cloud.

   <!--
   	Override example that identifies a single RP by name and configures it
   	for SAML 2 SSO without encryption. This is a common "vendor" scenario.
   -->
   <!--
   <bean parent="RelyingPartyByName" c:relyingPartyIds="https://sp.example.org">
   	<property name="profileConfigurations">
   		<list>
   			<bean parent="SAML2.SSO" p:encryptAssertions="false" />
   		</list>
   	</property>
   </bean>
   -->
   
   <!-- Temukan kode yang ditampilkan pada baris sebelumnya dalam file dan ganti kode tersebut dengan kode yang ditampilkan pada baris berikutnya. -->
   
   <bean parent="RelyingPartyByName" c:relyingPartyIds="[entityID]">
       <property name="profileConfigurations">
           <list>
               <bean parent="SAML2.SSO" p:encryptAssertions="false" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />
           </list>
       </property>
   </bean>

2. Konfigurasikan metode pembuatan atribut NameID dalam file /opt/shibboleth/conf/saml-nameid.xml.

   <!-- Temukan kode berikut. Beri komentar pada kode agar konfigurasi berlaku.-->
   
   <bean parent="shibboleth.SAML2AttributeSourcedGenerator"
       p:omitQualifiers="true"
       p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
       p:attributeSourceIds="#{ {'mail'} }" />
   
   <bean parent="shibboleth.SAML1AttributeSourcedGenerator"
       p:omitQualifiers="true"
       p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
       p:attributeSourceIds="#{ {'mail'} }" />

3. Konfigurasikan informasi tentang atribut NameID dalam /opt/shibboleth/conf/saml-nameid.properties.

   idp.nameid.saml2.default = urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
   idp.persistentId.useUnfilteredAttributes = true
   idp.persistentId.encoding = BASE32

Langkah 5: Peroleh file metadata SAML IdP di Shibboleth

1. Mulai ulang Apache Tomcat agar konfigurasi sebelumnya diterapkan.

2. Akses https://<Alamat IP server LDAP>/idp/shibboleth dan simpan file metadata ke komputer Anda.

Langkah 6: Aktifkan SSO di Konsol CloudSSO

1. Di panel navigasi sebelah kiri Konsol CloudSSO, klik Settings.

2. Di bagian SSO Logon halaman Pengaturan, klik Configure IdP.

3. Dalam kotak dialog Configure IdP, pilih opsi Upload Metadata File.

4. Klik Upload File untuk mengunggah file metadata yang diperoleh di Langkah 5: Peroleh File Metadata SAML IdP di Shibboleth.

5. Aktifkan saklar SSO untuk mengaktifkan SSO.

   Catatan

   Setelah SSO diaktifkan, log masuk menggunakan nama pengguna-kata sandi secara otomatis dinonaktifkan. SSO berlaku untuk semua pengguna. Setelah mengaktifkan SSO, semua pengguna harus menggunakan metode log masuk SSO.

Langkah 7: Buat pengguna CloudSSO di Konsol CloudSSO

Di Konsol CloudSSO, buat pengguna CloudSSO yang memiliki nama yang sama dengan pengguna di Shibboleth.

1. Di panel navigasi sebelah kiri Konsol CloudSSO, pilih User Management > User.

2. Di halaman User, klik Create User.

3. Di panel Buat Pengguna, konfigurasikan Username.

   Dalam contoh ini, nama pengguna testUser@testdomain.alicloud.com digunakan.

4. Aktifkan Status.

5. Klik Close.

(Opsional) Langkah 8: Berikan izin kepada pengguna CloudSSO

Jika Anda ingin pengguna CloudSSO mengakses sumber daya tertentu dalam anggota yang ditentukan di direktori sumber daya setelah pengguna masuk ke portal pengguna menggunakan metode SSO, Anda harus membuat konfigurasi akses yang mendefinisikan izin akses. Kemudian, tetapkan izin akses pada anggota kepada pengguna.

1. Buat konfigurasi akses dan tentukan kebijakan di Konsol CloudSSO.

   Untuk informasi lebih lanjut, lihat Buat Konfigurasi Akses.

2. Tetapkan izin akses pada akun di direktori sumber daya Anda kepada pengguna CloudSSO.

   Untuk informasi lebih lanjut, lihat Tetapkan Izin Akses pada Akun di Direktori Sumber Daya.

Verifikasi hasil konfigurasi

Setelah menyelesaikan konfigurasi sebelumnya, Anda dapat memulai SSO dari Alibaba Cloud atau Shibboleth.

• Mulai SSO dari Alibaba Cloud

  1. Masuk ke Konsol CloudSSO. Buka halaman Overview dan salin URL yang digunakan untuk masuk ke portal pengguna.

  2. Buka browser, tempelkan URL yang disalin, lalu tekan Enter.

  3. Klik Redirect. Anda akan diarahkan ulang ke halaman masuk Shibboleth.

  4. Di halaman masuk Shibboleth, masukkan nama pengguna testUser dan kata sandinya lalu klik Log On.

     Setelah berhasil masuk, Anda akan diarahkan ulang ke portal pengguna.

  5. Akses sumber daya Alibaba Cloud yang Anda miliki izinnya.

• Mulai SSO dari Shibboleth

  1. Akses https://<Alamat IP server LDAP>/idp/profile/SAML2/Unsolicited/SSO?providerId=<entityID>.

     Ganti <entityID> dengan Entity ID yang diperoleh di Langkah 1: Unduh File Metadata SAML SP dari Alibaba Cloud.

  2. Di halaman masuk Shibboleth, masukkan nama pengguna testUser dan kata sandinya lalu klik Log On.

     Setelah berhasil masuk, Anda akan diarahkan ulang ke portal pengguna.

  3. Akses sumber daya Alibaba Cloud yang Anda miliki izinnya.

FAQ

Jika masalah terjadi saat memverifikasi hasil konfigurasi, Anda dapat mengidentifikasi masalah menggunakan file /opt/shibboleth-idp/logs/idp-process.log. Bagian berikut memberikan jawaban atas beberapa pertanyaan yang sering diajukan: