Question

我需要我的SAML IDP属性独立于域名或授权，尽管有域名。

我的SAML IDP回复是：

<saml:AttributeValue xsi:type="xs:string">Today999_@domain.com</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:2.5.4.42">
    <saml:AttributeValue xsi:type="xs:string">Today999_@domain.com</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
    <saml:AttributeValue xsi:type="xs:string">today999_@domain.com</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:0.9.2342.19200300.100.1.3">
    <saml:AttributeValue xsi:type="xs:string">today999_@domain.com</saml:AttributeValue>

无论如何都要解决这个问题：

<saml:AttributeValue xsi:type="xs:string">Today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:2.5.4.42">
    <saml:AttributeValue xsi:type="xs:string">Today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
    <saml:AttributeValue xsi:type="xs:string">today999_</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="urn:oid:0.9.2342.19200300.100.1.3">
    <saml:AttributeValue xsi:type="xs:string">today999_@domain.com</saml:AttributeValue>

尽管该域名来自IDP，但SSO是否应该有效？ Shibboleth基于提供的信息进行授权，但应用程序不接受用户标头。用户ID是否与IDP提供商相关联？

响应的第一个输出是规范吗？

Answer 1

属性断言中返回的值取决于IdP的配置。

属性名称'urn：oid：2.5.4.42'具有FriendlyName'givenname'...因此返回域名部分似乎有问题。

属性名称'urn：oid：1.3.6.1.4.1.5923.1.1.1.6'具有语法'Domain-Qualified String'，因此可以期望看到特定于域的值

属性名称'urn：oid：0.9.2342.19200300.100.1.3'有FrienldyName'电子邮件'...所以实际上没有域名部分的电子邮件地址是非法的

不幸的是，我不是Shibboleth专家，你没有告诉'SSO'或'帐户链接'/联合不起作用。我不希望'SSO'因属性值而失败，但'account linkin'可以。

获取SAML身份提供程序（idp）以释放没有当前域的用户标识的最佳方法是什么

1 个答案: