hl.pas.samlplugin 1.3

介绍

hl.pas.samlplugin 为Zope的 PluggableAuthService 提供了一个SAML2插件。它提供了IExtractionPlugin，IAuthenticationPlugin，IChallengePlugin，ICredentialsResetPlugin接口。

hl.pas.samlplugin 目前已与OpenAM进行了测试。

安装

1. 将软件包添加到您的buildout中

2. 安装 xmlsec

3. 运行buildout

4. 重启Zope

5. 访问ZMI中的网站可插式认证服务并添加SAML2 PAS插件

配置

您需要为您提供IDP一个包含您的网站的AssertionConsumerService和SingleLogoutService设置的Zope站点端点配置。这将是一个类似于以下的XML文件：

<EntityDescriptor entityID="http://zopehost:8080/spEntityID" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
    <SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false"
                     protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
        <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
                             Location="http://zopehost:8080/site/logout"
                             ResponseLocation="https://zopehost:8080/site/logout"/>
        <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</NameIDFormat>
        <AssertionConsumerService isDefault="true" index="0" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
                    Location="http://zopehost:8080/site"/>
    </SPSSODescriptor>
    <RoleDescriptor xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                    xmlns:query="urn:oasis:names:tc:SAML:metadata:ext:query"
                    xsi:type="query:AttributeQueryDescriptorType"
                    protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    </RoleDescriptor>
</EntityDescriptor>

目前上述示例中指定的绑定（即SingleLogoutService的HTTP-Redirect和AssertionConsumerService的HTTP-POST）是唯一支持的绑定。对于认证请求，使用HTTP-Redirect。

请参阅可用的SAML2文档以获取更多信息。

在SAML2 PAS插件属性标签页上，您需要指定一些更多属性以使功能正常工作

• IDP配置文件的绝对路径。此XML文件应由您的IDP提供

• 服务端点URL，即例如上例中的 http://zopehost:8080/site

• 服务端点实体ID，由IDP提供

• 用于身份验证请求的AuthnContextClass

• 用于被动会话检查的服务URL绑定

• xmlsec可执行文件的绝对路径

• IDP提供的属性，应作为用户的登录属性使用（即Zope使用的用户ID）

• IDP提供的其他用户属性，应存储在用户会话中

请查看 browser 和 skins/auth 子目录中的示例，了解如何处理CMFSite的登录/注销。

值得注意的是，此PAS插件（以及SAML2协议）仅提供身份验证。您很可能需要实现自己的插件来提供IPropertiesPlugin和IUserEnumerationPlugin接口，至少如果您需要处理用户生成的内容或想使用Zope CMF。

致谢

“saml2”子目录中的大部分代码来自pysaml2包。

变更日志