36장
SAML 서비스 속성

SAML (Security Assertion Markup Language) 서비스 속성은 전역 속성입니다. 이러한 속성에 적용된 값은 Sun ONE Identity Server 구성 전체에 걸쳐 적용되며 구성된 모든 조직이 상속합니다. (전역 속성의 목표는 Identity Server 응용 프로그램을 사용자 정의하는 것이므로 이러한 값은 역할이나 조직에 직접 적용할 수 없습니다.)

SAML 서비스 구조에 대한 자세한 내용은 Sun ONE Identity Server Customization and API Guide를 참조하십시오.

SAML 속성은 다음과 같습니다.

사이트 아이디 및 사이트 발급자 이름
서명 요청
서명 응답
서명 명제
아티팩트 이름
대상 지정자
아티팩트 시간 초과(초)
notBefore 시간에 대한 명제 비대칭 요소
명제 시간 초과(초)
신뢰할 수 있는 파트너 사이트
대상 URL에 POST

사이트 아이디 및 사이트 발급자 이름

이 속성은 항목 목록을 포함하며 각 항목은 인스턴스 아이디, 사이트 아이디 및 사이트 발급자 이름을 포함합니다. 기본값은 설치하는 동안 할당됩니다. 형식은 다음과 같습니다.

instanceid=serverprotocol://servername:portnumber|siteid=site_id|issuerName=site_issuer_name

SSL에 대해 이 속성을 구성한 후(소스 사이트와 대상 사이트 모두에서) instanceid 프로토콜이 HTTPS//인지 확인합니다.

서명 요청

이 속성은 모든 SAML 요청을 전달하기 전에 디지털 서명할 것인지(XML DSIG) 여부를 지정합니다. 이 옵션을 누르면 이 기능을 사용할 수 있습니다.

서명 응답

이 속성은 모든 SAML 응답을 전달하기 전에 디지털 서명할 것인지(XML DSIG) 여부를 지정합니다. 이 옵션을 누르면 이 기능을 사용할 수 있습니다.

이 옵션의 사용 가능 여부에 상관 없이 SAML 웹 게시 프로필이 사용하는 모든 SAML 응답이 디지털 서명됩니다.

서명 명제

이 속성은 모든 SAML 명제를 전달하기 전에 디지털 서명할 것인지(XML DSIG) 여부를 지정합니다. 이 옵션을 누르면 이 기능을 사용할 수 있습니다.

아티팩트 이름

이 속성은 SAML 서비스 구성에 정의된 SAML 아티팩트에 변수 이름을 할당합니다. SAML 아티팩트는 명제와 소스 사이트를 식별하는 바운드 크기 데이터입니다. SAML 아티팩트는 URL 쿼리 문자열의 일부로 보내지며 리디렉션에 의해 대상 사이트로 전달됩니다. 기본값은 SAMLart입니다. 예를 들어, 기본 SAMLart 서비스 구성을 사용할 경우 리디렉션 쿼리 문자열이 다음과 같을 수 있습니다.

http:/host:port/deploy_URI/SamlAwareServlet?TARGET=http://URL/&SAMLart=artifact123

대상 지정자

이 속성은 리디렉션에 사용되는 대상 사이트 URL에 변수 이름을 할당합니다. 기본값은 Target입니다.

아티팩트 시간 초과(초)

이 속성은 아티팩트에 대해 작성된 명제의 시간 초과를 지정합니다. 기본값은 400입니다.

notBefore 시간에 대한 명제 비대칭 요소

이 속성은 명제의 notBefore 시간을 계산하는 데 사용됩니다. 예를 들어, IssueInstant가 2002-09024T21:39:49Z이고 명제 비대칭 요소 notBefore 시간 값이 300초(기본값: 180)로 설정된 경우 명제에 대한 조건 요소의 notBefore 속성은 2002-09-24T21:34:49Z입니다.

명제 시간 초과(초)

이 속성은 명제에서 시간 초과가 발생하기까지의 시간(초)을 지정합니다. 기본값은 420입니다.

주	명제의 총 유효 기간은 notBefore 시간에 대한 명제 비대칭 요소 속성과 명제 시간 초과 속성 모두에 설정된 값에 의해 정의됩니다.

신뢰할 수 있는 파트너 사이트

이 속성은 특정 사이트가 신뢰할 수 있는 관계를 설정하여 다른 파트너 사이트와 통신할 수 있도록 파트너의 정보를 저장합니다.

이 속성은 각각 키/값 쌍("|"로 분리)을 포함하는 항목의 목록을 포함합니다. 각 항목에는 소스 아이디가 필요합니다. 예를 들면 다음과 같습니다.

SourceID=siteid|SOAPURL=https://servername:portnumber/amserver/SAMLSOAPReceiver|AuthType=SSL|hostlist=ipaddress (또는, server DNS name이나 cert alias)

매개 변수는 다음과 같습니다.

표 36-1 신뢰할 수 있는 파트너 사이트 매개 변수

SourceID	사이트 아이디 및 발급자 이름에서처럼 20바이트 시퀀스를 정의했습니다.
target	이 매개 변수는 포트 번호와 함께 또는 포트 번호 없이 특정 도메인에 정의됩니다. 해당 특정 도메인에서 호스트되는 웹 페이지에 연결하려는 경우 추가 처리를 위해 SAMLUrl 매개 변수 또는 POSTUrl 매개 변수로 정의되는 URL에 대한 리디렉션을 target에서 지정합니다. 신뢰할 수 있는 파트너 사이트 속성에 동일한 도메인이 지정된 두 개의 항목(포트 번호를 포함하는 항목과 그렇지 않은 항목)이 있는 경우 포트 번호를 가진 항목이 더 높은 우선 순위를 가집니다. 예를 들어, 다음과 같은 두 개의 신뢰할 수 있는 파트너 사이트 정의가 있고 target=sun.com|SAMLUrl=http://machine1.sun.com:8080/amserver/SAMLAwareServlet 및 target=sun.com:8080|SAMLUrl=httyp://machine2.sun.com:80/amserver/SAMLAwareServlet 다음 페이지를 찾으려는 경우 http://somemachine.sun.com:8080/index.html 두 번째 정의가 SAML 서비스 공급자로 선택되는데 그 이유는 일치하는 도메인과 포트가 target 매개 변수에 공존하기 때문입니다.
SAMLUrl	SAML 서비스를 제공하는 URL을 정의합니다. 이 URL에 지정된 서브릿은 OASIS-SAML 바인딩 및 프로필 사양에 정의된 아티팩트가 있는 웹 브라우저 SSO 프로필을 구현합니다.
POSTUrl	SAML 서비스를 제공하는 URL을 정의합니다. 이 URL에 지정된 서브릿은 OASIS-SAML 바인딩 및 프로필 사양에 정의된 POST가 있는 웹 브라우저 SSO 프로필을 구현합니다.
issuer	Identity Server 내에서 생성된 명제 작성자를 정의합니다. 구문은 hostname:port입니다.
SOAPUrl	SOAP 수신기 서비스 URL을 지정합니다.
AuthType	SAML에 사용되는 인증 유형을 정의합니다. 인증 유형은 다음 중 하나가 되어야 합니다. NOAUTH BASICAUTH SSL SSLWITHBASICAUTH 이 매개 변수는 선택 사항이며 지정하지 않을 경우 기본값은 NOAUTH입니다. BASICAUTH 또는 SSLWITHBASICAUTH를 지정하는 경우 사용자 매개 변수가 필요하며 SOAPUrl은 HTTPS이어야 합니다.
user	파트너의 SOAP 수신기를 보호하는 데 사용되는 파트너의 uid를 정의합니다.
hostlist	이 속성은 지정된 파트너 사이트에 요청을 보낼 수 있는 해당 사이트 내의 모든 호스트에 대한 IP 주소 및/또는 certAlias를 나열합니다. 이것은 요청자가 실제로 SAML 아티팩트의 의도된 수신자가 되도록 합니다. 요청자의 호스트 또는 클라이언트 인증서가 수신자 사이트의 이 목록에 있는 경우 서비스가 계속됩니다. 호스트 또는 클라이언트 인증서가 호스트 목록의 해당 호스트 또는 인증서와 일치하지 않는 경우 SAML 서비스가 요청을 거부합니다.
AccountMapper	명제의 주제가 대상 사이트에서 아이디와 관련되는 방법을 정의하는 플러그 가능 클래스를 지정합니다. 기본값은 다음과 같습니다. com.sun.identity.saml.plugins.DefaultAccountMapper
attributeMapper	attributeMapper가 위치하는 경로로 클래스를 지정합니다. 응용 프로그램은 attributeMapper를 개발하여 SSOToken 아이디를 얻거나 쿼리의 AuthenticationStatement를 포함하는 명제를 얻을 수 있습니다. 그런 다음 이 매퍼는 주제의 속성을 검색하는 데 사용됩니다. attributeMapper가 지정되지 않은 경우 DefaultAttributeMapper가 사용됩니다.
actionMapper	actionMapper가 위치하는 경로로 클래스를 지정합니다. 응용 프로그램은 actionMapper를 개발하여 SSOToken 아이디를 얻거나 쿼리의 AuthenticationStatement를 포함하는 명제를 얻을 수 있습니다. 그런 다음 이 매퍼는 쿼리에 정의된 작업에 대한 권한 부여 결정을 검색하는 데 사용됩니다. actionMapper가 지정되지 않은 경우 DefaultActionMapper가 사용됩니다.
siteAttributeMapper	siteAttributeMapper가 위치하는 경로로 클래스를 지정합니다. 응용 프로그램은 siteAttributeMapper를 개발하여 SSO 동안 명제에 포함되는 속성을 얻습니다. siteAttributeMapper를 찾을 수 없으면 SSO 동안 명제에 속성이 포함되지 않습니다.
certAlias=aliasName	파트너가 명제에 서명하고 파트너 인증서를 서명된 명제의 KeyInfo 부분에서 찾을 수 없을 경우 명제의 서명을 확인하는 데 사용되는 certAlias 이름을 지정합니다.

다음 표에는 신뢰할 수 있는 파트너 사이트의 구성 예가 나열되어 있습니다. 모든 매개 변수가 항상 필요한 것은 아니며 선택적 매개 변수는 대괄호로 묶여 있습니다.

	송신자	수신자
아티팩트	sourceid	sourceid
	target	SOAPUrl
	SAMLUrl	[accountMapper]
	hostlist	[AuthType]
	[siteAttributeMapper]	[User]
		[certAlias]
POST 프로필	sourceid	sourceid
	target	issuer
	POSTUrl	[accountMapper]
	[siteAttributeMapper]	[certAlias]
SOAP 요청		sourceid
		hostlist
		[attributeMapper]
		[actionMapper]
		[certAlias]
		[issuer]

대상 URL에 POST

사이트에서 SSO(아티팩트 프로필 또는 POST 프로필)를 통해 받은 대상 URL이 이 속성에 나열된 경우 SSO에서 받은 명제가 http: FORM POST에 의해 대상 URL로 보내집니다. POST에 테스트 URL 또는 기타 추가 URL을 사용하지 마십시오.

이전      목차      색인      다음

---

Copyright 2003 Sun Microsystems, Inc. 모든 권리는 저작권자의 소유입니다.