# 认证源（SAML2认证）
SAML2是一种用于安全性断言的标记语言（Security Assertion Markup Language 2.0），用户只需经过一次认证（使用账号及密码登录认证系统），就可以免登录直接访问其他相互信任的应用系统。
1. [登录堡垒机系统](https://support.huaweicloud.com/usermanual-cbh-s2/cbh_s2_01_0047.html)。
2. 单击![](https://support.huaweicloud.com/usermanual-cbh-s2/zh-cn_image_0000002561544151.png)，将控制台切换到"管理控制台"模式。
3. 在左侧导航栏，选择"配置 \> 用户配置 \> 认证源"，进入认证源管理页面。
4. 将光标悬停至"SAML2"上，单击"编辑"，右侧弹出配置窗口，参考[表1]配置SAML2服务器后，单击"保存"。
   
    表1SAML2认证参数说明 
   | **参数**           | **说明**                                                                                                                                                      |
   |:---|:---|
   | 状态               | 开启或关闭SAML2登录认证，开启后用户登录时才会尝试该认证源认证。                                                                                                                          |
   | 认证源名称            | 自定义名称，仅用于识别，不能重复。                                                                                                                                           |
   | 认证源LOGO          | 单击"上传图片"，按要求从本地选择图片，可自定义登录页面的SAML2图标。                                                                                                                       |
   | 注销时自动退出SAML2服务器  | 勾选后，SAML2认证用户退出堡垒机时，也会同步退出SAML2服务器，需同时配置IDP Logout URL地址。                                                                                                   |
   | IDP Logout URL   | 配置SAML2服务器退出的地址。                                                                                                                                            |
   | IDP Login URL    | 配置SAML2服务器单点登录的地址，可在SAML2服务器启动后提供的安装页面中单击"显示元信息"界面中获取。                                                                                                      |
   | SP ACS URL       | 显示堡垒机的SAML2认证凭据校验（Assertion Consumer Service）地址，需将该地址填写到SAML2服务器配置中。                                                                                        |
   | SAML2服务器证书       | 单击"上传证书"，从本地选择PEM证书文件，上传至堡垒机。 请确保上传的证书使用安全的加密算法，如RSA（\>=3072bits），DSA（\>=2048bits），ECDSA（\>=224bits）等，并符合行业安全标准，以避免潜在的安全风险。 |
   | IDP Entity ID    | 配置SAML2服务器的实例ID。                                                                                                                                            |
   | SP Entity ID     | 显示堡垒机的实例ID。                                                                                                                                                 |
   | 认证成功后自动创建本地用户并绑定 | 勾选后，如果认证通过的用户在堡垒机中不存在，则会在堡垒机中自动创建该用户。                                                                                                                       |
   | 默认用户平台角色         | 选择认证通过后在堡垒机中自动创建的用户的角色。                                                                                                                                     |
   | admin用户映射        | SAML2用户单点登录成功后，如果SAML2服务器返回的登录用户属性中含此属性名且其值与配置的属性值相同时，会将该用户映射为admin用户。                                                                                      |
   | 应用判断映射属性         | 输入应用判断映射属性。                                                                                                                                                 |
   | 认证源用户属性          | 配置堡垒机本地用户属性和SAML2服务器上用户属性的映射关系，默认存在用户名属性映射。 单击"添加"，可新增姓名、邮箱、电话、备注等用户属性。                                                     |
   | 本地用户属性           | 配置堡垒机本地用户属性和SAML2服务器上用户属性的映射关系，默认存在用户名属性映射。 单击"添加"，可新增姓名、邮箱、电话、备注等用户属性。                                                     |
   | 将SAML2设置为默认登录方式  | 勾选后，访问堡垒机会自动跳转到SAML2登录页面进行认证。如果不勾选，需要单击SAML图标访问。                                                                                                            |
   | 登录认证加密           | 勾选后，认证过程需对认证报文进行加密。                                                                                                                                         |
   | 退出签名             | 勾选后，单点登出时会对退出请求报文数据签名。                                                                                                                                      |
   | 下载元数据            | 单击可下载SAML2元数据。                                                                                                                                              |
   | 时间调整             | 根据配置时间调整堡垒机与SAML2服务器之间的时间偏差，为负数则提前，为正数则延后，有效值-1440\~1440，建议值为0。                                                                                             |