无SSL的Shibboleth

Question

Q:可以在没有SSL的情况下部署Shibboleth吗？

简介：我们需要在测试环境中部署Shibboleth。这个环境在Internet上是不可见的，因此我们无法添加一些有效的证书--因此它警告我们使用的是自签名证书。我们的应用程序不能通过这个警告，我们不能自动测试通过SAML登录是否正常。

我们使用一个对接图像希伯贝勒与我们的设置。

我认为我们可以改变Jetty的设置并关闭SSL，但我不确定Shibboleth是否会同意。

Answer 1

问题：“我们可以更改Jetty的设置并关闭SSL，但我不确定Shibboleth是否会同意。”

答案

(1)是。Shibboleth是可以的，没有SSL的演示目的，只有。换句话说，在测试环境中，您可以更改Jetty的设置并关闭SSL，然后在8080的HTTPS端口上而不是8443的HTTPS端口上运行带有Jetty的Shibboleth IdP。

我已经验证了Shibboleth /Jetty/HTTP提供的 SAML身份验证/联合:8080没有Shibboleth。换句话说，Shibboleth IdP运行在Jettp端口8080 (而不是HTTPS端口8443)上，成功地为Shibboleth提供了SAML身份验证/联邦。

备注

(I)在生产环境中部署Shibboleth IdP通常利用代理将外部HTTPS端口443重定向到Jetty的内部HTTPS端口8443。

相应地，Shibboleth IdP在测试环境中的部署利用代理将外部HTTPS端口80重定向到Jetty的内部HTTPS端口8080。

(2)在生产环境上部署时，Shibboleth IdP应该在带有HTTPS端口的Jetty上运行。

(2) Shibboleth IdP的安全与联网证明了Jetty密钥和证书不是Shibboleth IdP使用的密钥和证书，这表明Shibboleth可以不带SSL演示。

Use of browser-facing TLS key and certificate
This key and certificate is not used by Shibboleth directly, and you SHOULD NOT use this key (or certificate) in any of the other capacities described below. 

(3) 如何使用Docker容器构建和运行Shibboleth、IdP和SP at GitHub存储库提供了使用Shibboleth、IdP和OpenLDAP构建基于SAML的身份验证/授权提供者的指导。

• Shibboleth负责身份联合。
• OpenLDAP负责身份验证。

(I)要在8080的HTTP端口上运行带有Jetty的Shibboleth IdP，只需执行下面的命令就可以在生成IdP和SP Docker映像之前修改配置。为了您的方便，这个由这个IdP存储库提供的没有SSL的Shibboleth IdP已经过验证。

cd shibboleth-idp-dockerized/ext-conf/conf/
cp idp.properties idp.properties.backup
cp idp.properties.without.ssl idp.properties
cd -

cd shibboleth-idp-dockerized/ext-conf/metadata/
cp idp-metadata.xml idp-metadata.xml.backup
cp idp-metadata-without-ssl.xml idp-metadata.xml
cd -

cd shibboleth-sp-testapp/shibboleth-sp/
# Edit shibboleth2.xml to update IdP entityID and metadata without SSL.
vi shibboleth2.xml

<SSO entityID="https://idp.example.com/idp/shibboleth">
-->
<SSO entityID="http://idp.example.com/idp/shibboleth">

<MetadataProvider type="XML" file="idp-metadata.xml"/>
-->
<MetadataProvider type="XML" file="idp-metadata-without-ssl.xml"/>

(II)我已经验证了由Docker运行的Shibboleth (身份提供者)和OpenLDAP为下列企业应用程序提供的SAML单点登录(SSO)。换句话说，我利用运行Shibboleth和OpenLDAP的Docker成功地登录到以下企业应用程序。

Microsoft Office 365
Google G Suite
Salesforce
Dropbox
Box
Amazon AWS
OpenStack
Citrix NetScaler
VMware vCloud Director
Oracle NetSuite

(III)另一个StackOverflow问题设置一个新的Shibboleth IdP，以便与现有的SAML一起工作讨论了IdP和SP之间的SAML配置。