SP-initiated

Fluxograma

A figura a seguir mostra o processo de autenticação de federação SP-initiated.

Figura 1 Fluxograma (SP-initiated)

Descrição

1. O cliente chama a API usada para obter um token federado no modo SP-initiated.
2. A plataforma em nuvem procura um arquivo de metadados com base nas informações do usuário e do IdP no URL e envia uma SAML request ao cliente.
3. O cliente encapsula a SAML request e encaminha a solicitação para o IdP.
4. Um usuário digita um nome de usuário e uma senha no servidor de IdP para autenticação de identidade.
5. Depois de autenticar o usuário, o IdP constrói uma asserção contendo as informações de identidade do usuário e envia uma resposta SAML ao cliente.
6. O cliente encapsula a resposta SAML e encaminha a resposta para a plataforma de nuvem.
7. A plataforma em nuvem verifica e autentica a asserção e gera uma credencial de acesso temporária conforme as regras de conversão de identidade do usuário configuradas para o provedor de identidade.
8. O usuário pode acessar recursos de nuvem pública com base nas permissões atribuídas.

OpenStackClient

O OpenStackClient é um cliente de linha de comando que pode ser instalado apenas por um usuário com permissões de raiz. A configuração deste cliente requer apenas permissões de usuário comuns.

Chame APIs em um ambiente de rede seguro (em um servidor VPN ou em nuvem). Caso contrário, você pode encontrar ataques man-in-the-middle (MITM).

Cliente Shibboleth ECP

1. Configure os arquivos metadata-providers.xml no Shibboleth IdP v3 e coloque-os no caminho correspondente.

   <MetadataProvider id="LocalMetadata1"xsi:type="FilesystemMetadataProvider" metadataFile="C:\Program Files (x86)\Shibboleth\IdP\metadata\web_metadata.xml"/>
   <MetadataProvider id="LocalMetadata2"xsi:type="FilesystemMetadataProvider" metadataFile="C:\Program Files (x86)\Shibboleth\IdP\metadata\api_metadata.xml"/>
   

   • MetadataProvider id indica o nome do arquivo de metadados baixado do sistema SP.
   • metadataFile indica o caminho para armazenar o arquivo de metadados do sistema SP no sistema IdP.

2. Configure o arquivo attribute-filter.xml no Shibboleth IdP v3.

   <afp:AttributeFilterPolicy id="example1">
       <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="https://auth.example.com/" />
       <afp:AttributeRule attributeID="eduPersonPrincipalName">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
       <afp:AttributeRule attributeID="uid">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
       <afp:AttributeRule attributeID="mail">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
   </afp:AttributeFilterPolicy>
   
   <afp:AttributeFilterPolicy id="example2">
       <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="https://iam.{region_id}.example.com" />
       <afp:AttributeRule attributeID="eduPersonPrincipalName">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
       <afp:AttributeRule attributeID="uid">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
       <afp:AttributeRule attributeID="mail">
           <afp:PermitValueRule xsi:type="basic:ANY" />
       </afp:AttributeRule>
   </afp:AttributeFilterPolicy>
   

   AttributeFilterPolicy id indica o nome do arquivo de metadados baixado do sistema SP.

   value indica o EntityID no arquivo de metadados do sistema SP.

3. Configure o ponto final do sistema IdP no script ecp.py.

   # mapping from user friendly names or tags to IdP ECP enpoints
   IDP_ENDPOINTS = {
       "idp1": "https://idp.example.com/idp/profile/SAML2/SOAP/ECP"
   }

4. Execute o script ecp.py para obter um token de autenticação federado.

   >>python ecp.py
   Usage: ecp.py [options] IdP_tag target_url login
   >>python ecp.py -d idp1 https://iam.{region_id}.example.com/v3/OS-FEDERATION/identity_providers/idp_example/protocols/saml/auth {username}
   X-Subject-Token: MIIDbQYJKoZIhvcNAQcCoIIDXXX...

   X-Subject-Token é o token de autenticação federado obtido.