本文为您介绍SSO时SAML响应中必须包含的元素。

概要

在基于SAML2.0的SSO流程中，当企业用户在IdP登录后，IdP将生成包含SAML断言的认证响应，并由浏览器自动转发给网宿。这个SAML断言会被用来确认用户登录状态并从中解析出登录的主体。因此，断言中必须包含网宿要求的元素，否则登录用户的身份将无法被确认，导致SSO失败。

SAML响应

<saml2p:Response
    <saml2:Issuer>${entityID}</saml2:Issuer>
    <ds:Signature>
     …
    </ds:Signature>
    <saml2p:Status>
     …
    </saml2p:Status>
    <saml2:Assertion>
        <saml2:Issuer>${entityID}</saml2:Issuer>
        <ds:Signature>
        …
        </ds:Signature>
        <saml2:Subject>
          <saml2:NameID>${NameID}</saml2:NameID>
          <saml2:SubjectConfirmation>
		…
          </saml2:SubjectConfirmation>
        </saml2:Subject>
        <saml2:Conditions>
          <saml2:AudienceRestriction>
          	<saml2:Audience>${Audience}</saml2:Audience>
          </saml2:AudienceRestriction>
        </saml2:Conditions>
        <saml2:AuthnStatement>
         …
        </saml2:AuthnStatement>
        <saml2:AttributeStatement>
            <saml2:Attribute Name="https://cas.wangsu.com/SAML/Attributes/LoginName" >  
            <saml2:AttributeValue>wsc:iam::${parentLoginName}:login-name/${loginName},wsc:iam::${parentLoginName}:saml-provider/${provider}</saml2:AttributeValue>        
        </saml2:Attribute>
	<saml2:Attribute Name="https://cas.wangsu.com/SAML/Attributes/RoleSessionName">
            <saml2:AttributeValue>${NameID}</saml2:AttributeValue>          
        </saml2:Attribute>
        </saml2:AttributeStatement>
    </saml2:Assertion>
</saml2p:Response>

SAML断言中的元素说明

• SAML 2.0协议的通用元素

• 自定义元素要求

在SAML断言的AttributeStatement元素中，必须包含以下Attribute元素：
1）Name属性值为：https://cas.wangsu.com/SAML/Attributes/LoginName 的Attribute元素，该元素为必选，可以有多个（接口上支持传多个，但是程序上暂不支持，只会取第一个值）。其包含的AttributeValue 元素取值代表允许当前IdP用户可以使用网宿科技的哪个账号进行访问，取值的格式由用户描述及身份提供商描述组合而成，中间用英文逗号隔开。

<saml2:Attribute Name="https://cas.wangsu.com/SAML/Attributes/LoginName" >       
     <saml2:AttributeValue>wsc:iam::${parentLoginName}:login-name/${loginName},wsc:iam::${parentLoginName}:saml-provider/${provider}</saml2:AttributeValue>  
</saml2:Attribute>

在这个属性中，其中：
•${parentLoginName}：替换为您在网宿科技对应的主账号；
•${loginName}：替换为您当前IdP用户要访问网宿科技所使用的网宿科技账号；
•${provider}：替换为您在网宿科技控制台上创建的 SAML 身份提供商名称。
2）Name属性值为：https://cas.wangsu.com/SAML/Attributes/RoleSessionName的Attribute元素，该元素为必选，只能有一个。
其包含的AttributeValue元素取值将被用来作为登录用户信息的一部分显示在控制台上和操作审计日志中。该字段由用户自定义，长度不超过32个字符。其格式为：

<saml2:Attribute Name="https://cas.wangsu.com/SAML/Attributes/RoleSessionName">
     <saml2:AttributeValue>${NameID}</saml2:AttributeValue>          
</saml2:Attribute>

以下是一个 RoleSessionName Attribute 元素示例，其中${NameID}的值必须与Subject元素中的NameID值一致。

<saml2:Attribute Name="https://cas.wangsu.com/SAML/Attributes/RoleSessionName">
     <saml2:AttributeValue>admin</saml2:AttributeValue>          
</saml2:Attribute>

后续操作：

SSO账号管理