从IdP的SAML到Apache mod_mellon的Splunk失败

Question

我正在尝试使用IdP将SSO配置为mod_mellon，将mod代理配置为splunk。

环境: Ubuntu 14.04；Apache 2.4.7；mellon 0.7.0.

Apache在默认ssl站点上配置了mellon生成的密钥/证书。mod代理正被用来代理本地8000端口上的splunk。

auth_mellon.conf：

MellonCacheSize 100
MellonLockFile "/var/lock/mod_auth_mellon.lock"
MellonPostDirectory "/var/cache/apache2/mod_auth_mellon/"

ProxyRequests Off
ProxyPass /secret/ !
ProxyPassInterpolateEnv On
<Location />
        MellonEnable "info"
        Require valid-user
        AuthType "Mellon"
        MellonVariable "cookie"
        MellonSamlResponseDump On
        MellonSPPrivateKeyFile /etc/apache2/mellon/urn_splunk.key
        MellonSPCertFile /etc/apache2/mellon/urn_splunk.cert
        MellonSPMetadataFile /etc/apache2/mellon/urn_splunk.xml
        MellonIdpMetadataFile /etc/apache2/mellon/idp-meta.xml
        MellonEndpointPath /secret/endpoint
        MellonUser "NAME_ID"
        MellonDefaultLoginPath /en-US/
        RequestHeader set SplunkWebUser %{MELLON_NAME_ID}e
        MellonSamlResponseDump On

        ProxyPass http://127.0.0.1:8000/
        ProxyPassReverse http://127.0.0.1:8000/
        ProxyPassInterpolateEnv On
</Location>

idp-meta.xml包含来自IDP的元数据(包括IDP、x509证书和HTTP /HTTP重定向参数)。urn_service.*文件是从在SP和xml文件上创建x509证书和键的mellon_create_metadata.sh脚本生成的。

当我尝试从IdP访问splunk时，我会看到Apache日志文件中的错误，并得到一个500 /内部服务器错误响应：

[authz_core:debug] mod_authz_core.c(802): AH01626: authorization result of Require valid-user : denied (no authenticated user yet)
[authz_core:debug] mod_authz_core.c(802): AH01626: authorization result of <RequireAny>: denied (no authenticated user yet)
[core:error] AH00027: No authentication done but request not allowed without authentication for /secret/endpoint/login. Authentication not configured?

看来SAML身份验证失败了。我正在遵循以下指南：http://blogs.splunk.com/2013/10/09/splunk-sso-using-saml-through-okta/

Splunk被配置为使用LDAP进行身份验证，并且正在正确地进行身份验证。apache也需要配置ldap身份验证来识别有效的用户吗？(不确定用户如何在apache/mellon中进行身份验证，假设所有这些都是由IdP和mellon的有效负载处理的，mellon只知道身份

Answer 1

很可能，IDP没有正确配置LDAP & Mellon/Apache不需要额外的配置。

如果您可以发布SAML响应的转储，这将有助于进一步钻取问题。

如果你想进一步讨论，请告诉我。

谢谢，桑迪·E- Sandy@mirketa.com