Ошибка SSO Splunk SAML от IdP с Apache mod_mellon

Похоже, что ряд вещей был неправильным. Во-первых, я не осознавал, что метаданные необходимо скопировать из моего IdP обратно в конфигурации apache, когда я изменил настройки SAML на этой стороне. В любом случае, убедившись, что файлы IdP и SP xml правильно настроены в Apache, я смог двигаться дальше (я думаю, что изменил идентификатор объекта)

Я по-прежнему получал сообщение об ошибке, требующее наличия действительного пользователя в журналах ошибок. Оказывается, что MellonEnable "auth" заботится о том, чтобы там был действующий пользователь, хотя по какой-то причине Require valid-user и AuthType "Mellon" параметры вызывали ошибки и 500 ответов сервера.

После удаления этих 2 директив я все еще получал ошибки, на этот раз Could not find metadata for the IdP "(null)" - после быстрого поиска оказывается, что последняя версия lasso доступный в Ubuntu 14.04 LTS (2.4.0) не работает с подписями SHA256, которые IdP использовал по умолчанию. Lasso 2.5 поддерживает SHA256. После обновления конфигурации IdP с использованием совместимого алгоритма идентификация прошла правильно.

Однако затем я столкнулся с петлями перенаправления из-за контекста. Я нашел еще одно сообщение, в котором предлагалось переместить веб-корень splunk в /splunk контекст вместо корневого (/), и, обновив это, я теперь могу аутентифицироваться в Splunk через mellon от IdP. Вот соответствующие рабочие конфигурации:

MellonLockFile "/var/lock/mod_auth_mellon.lock"
MellonPostDirectory "/var/cache/apache2/mod_auth_mellon/"

ProxyRequests Off
ProxyPassInterpolateEnv On
# Move the proxy directives out of <location> and specify the context / mapping
ProxyPass /splunk http://127.0.0.1:8000/splunk
ProxyPassReverse /splunk http://127.0.0.1:8000/splunk

<Location />
        MellonEnable "info"
        MellonVariable "cookie"
        MellonSamlResponseDump On
        MellonSPPrivateKeyFile /etc/apache2/mellon/urn_splunkweb.key
        MellonSPCertFile /etc/apache2/mellon/urn_splunkweb.cert
        MellonSPMetadataFile /etc/apache2/mellon/urn_splunkweb.xml
        MellonIdpMetadataFile /etc/apache2/mellon/idp-metadata.xml
        MellonEndpointPath /secret/endpoint
        MellonUser "NAME_ID"
        MellonDefaultLoginPath /splunk/en-US/
        RequestHeader set SplunkWebUser %{MELLON_NAME_ID}e
        ProxyPassInterpolateEnv On
</Location>
<Location /splunk/>
        # Forces /splunk requests to be authenticated via the IdP.
        MellonEnable "auth"
</Location>

$ SPLUNK_HOME / etc / system / local / web.conf:

[settings]
trustedIP=127.0.0.1
remoteUser SplunkWebUser
SSOMode=permissive
root_endpoint = /splunk

И $ SPLUNK_HOME / etc / system / local / server.conf

[general]
trustedIP=127.0.0.1

Очевидно, это для настройки, в которой сервер apache / mellon работает на том же хосте, что и splunk. web.conf (splunk) и auth_mellon.conf (apache) необходимо обновить удаленными IP-адресами, если нет. web.conf поддерживает список доверенных хостов, разделенных запятыми, а server.conf не должен и должен оставаться как localhost.

Подготовьте веб-страницу отладки со следующим:

<?php
header('Content-Type: text/plain');

foreach($_SERVER as $key=>$value) {
  if(substr($key, 0, 7) == 'MELLON_') {
    echo($key . '=' . $value . "\r\n");
  }
}
?>

Можете ли вы проверить, находится ли идентификатор пользователя в

  MellonUser "NAME_ID"

NAME_ID атрибут? Мне это кажется подозрительным. Обычно это uid или похожие. На этапе тестирования вы можете изменить любой атрибут, который вы знаете о выпусках IdP (mail, cn ... что угодно), просто чтобы избежать проблемы 500.

Скорее всего, IDP неправильно настроен с LDAP, и для Mellon / Apache нет необходимости в дополнительной настройке.

Если вы можете опубликовать дамп ответа SAML, это поможет подробнее разобраться в проблеме.

Пожалуйста, дайте мне знать, если вы хотите продолжить обсуждение.

Спасибо, Сэнди E- Sandy@mirketa.com