Bảo mật dịch vụ web với SAML (SSO) - Cách thực hiện?

Question

Vấn đề:

Tôi muốn thực hiện một bộ Webservices, bảo vệ với SAML. Tôi cần phải xác thực người dùng và cũng cần phải ủy quyền cho dựa trên vai trò người dùng. Tôi đã tìm thấy một số câu hỏi tương tự câu hỏi này, nhưng không có câu hỏi nào có câu trả lời thỏa đáng.

Kịch bản:

• Java webapp truy cập duy nhất sử dụng Webservices;
• SOAP - metro;
• Khách hàng sử dụng một số ứng dụng dành cho máy tính để bàn mà họ sẽ phát triển.

Các tính năng chính mà tôi cần:

• phần mềm miễn phí;
• SAML 2.0;
• LDAP (hoặc giải pháp tương tự) để quản lý thông tin người dùng;
• Bảo mật cấp thư (SOAP).

Câu hỏi đặt ra:

tôi nghiên cứu một số SAML (SSO) giải pháp (ví dụ Shibboleth, opemAM, JOSSO ...);

• Tôi có thể sử dụng bất kỳ tính năng nào trong số đó mà không ảnh hưởng đến bất kỳ tính năng chính nào không?
• Hoặc tôi có cần triển khai theo cách riêng của mình để xử lý mã thông báo SAML không?
• Cách thực hiện?

Cảm ơn bạn!

Dưới đây là một số kết quả mà tôi tìm thấy, và/hoặc một số lời khuyên từ các câu trả lời:

• Shibboleth:

  • http://shibboleth.1660669.n2.nabble.com/Web-Service-End-to-End-Security-td5526934.html
    Shiboleth không làm ent-to-end, chỉ point-to-point.

  • http://www.predic8.com/shibboleth-web-services-sso-en.htm
    Yêu cầu mô-đun proxy để xác thực, trước SP.

• OpenAM:

  • https://wikis.forgerock.org/confluence/display/openam/Web+Services
    Không trình bày một cung cấp dịch vụ (SP). Xác định kiến ​​trúc dựa trên máy khách-máy khách, nơi máy khách yêu cầu mã thông báo một cách rõ ràng, khi sử dụng các phương thức web để xác thực.
    
    

• WSO2:

  • http://wso2.org/library/articles/2010/07/saml2-web-browser-based-sso-wso2-identity-server
    Không cung cấp SP, bạn cần phải thực hiện nó bằng cách sử OpenSAML.

Vẫn tìm kiếm, xin vui lòng đóng góp !!

Answer 1

Vì không có ai trả lời bằng tùy chọn hợp lệ. Tôi quyết định bảo mật các dịch vụ bằng SAML tàu điện ngầm và cố gắng cung cấp các thẻ bằng cách sử dụng OpenAM.

Answer 2

Tôi là kiến ​​trúc sư tại WSO2. WSO2 sản xuất WSO2 Identity Server hỗ trợ tất cả các tính năng mà bạn yêu cầu. Bạn có thể triển khai WSO2 Identity Server trên một kho lưu trữ người dùng LDAP hiện có và làm cho nó hoạt động như một IdP SAML2. Chúng tôi đang sử dụng chức năng này của Máy chủ danh tính trong Nền tảng của chúng tôi dưới dạng dịch vụ [PASS] cung cấp - https://stratoslive.wso2.com cho đăng nhập một lần SAML2.

This là điểm khởi đầu tốt và bạn có thể tải xuống Máy chủ định danh WSO2 từ here.

Answer 3

Đối với điều này, bạn có thể xem jasig CAS. Chúng tôi chưa sử dụng SAML, nhưng nó sẽ hoạt động như được mô tả here