如何更改 wso2is 发送给 IdP 的 saml2p:NameIDPolicy？答案

【问题标题】：How to change saml2p:NameIDPolicy that wso2is sends to IdP?如何更改 wso2is 发送给 IdP 的 saml2p:NameIDPolicy？
【发布时间】：2017-05-01 04:06:50
【问题描述】：

我有一个 WSO2IS 5.2 作为联合中心。它发送给 IdP（在本例中为 PingFederate）的 AuthnRequest 包括此 NameIDPolicy：

   <saml2p:NameIDPolicy AllowCreate="true"
                         Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified"
                         SPNameQualifier="WSO2IS"
                         xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol"
                         />

在 PingFederate 登录后，它会发回 SAML 消息，其中包括：

<samlp:Status>
        <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Requester">
            <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy" />
        </samlp:StatusCode>
        <samlp:StatusMessage>Cannot provide requested name identifier qualified with WSO2IS</samlp:StatusMessage>
    </samlp:Status>

我在 PingFederate 中尝试过 uid 和邮件 NameID 值，但我总是得到这个响应。我想尝试更改 wso2is 发送但尚未找到方法的 NameIDPolicy 格式。我认为应该是 SAML:2.0 格式。

我发现的唯一内容是 IdP 设置中的“包括 NameID 策略”复选框，但即使我取消选中并保存它也会保持选中状态。

如何更改 NameIDPolicy 格式？

更新：我通过在 PingFederate 启用假名标识符并将用户名作为属性发送来解决了这个问题。还是很高兴知道我的问题的答案。

【问题讨论】：

理想情况下，这应该可以在身份提供者添加视图中进行配置。到目前为止，用户界面或任何其他配置都无法使用。将创建一个 JIRA 来跟踪这一改进。

标签： saml-2.0 wso2is pingfederate

【解决方案1】：

是的，您的理解是正确的。您可能需要更改NameIDPolicy。您可以在服务提供商 (SP) 创建页面中找到它。转到 WSO2 IS 管理控制台，Home>service Provider>Add>。

之后需要输入SP的名称并点击register按钮。

现在您位于服务提供商配置页面。

转到Inbound Authentication Configuration>SAML2 Web SSO Configuration>configure。

此页面您可以配置 SAML2 Web SSO 配置，页面标题显示为 Register New Service Provider 并转到 NameID format 更改 urn:oasis:names:tc:SAML:2.0:nameid-format:emailAddress 而不是 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress。您可以从 WSO2 文档 [1] 中找到更多详细信息。

[1]https://docs.wso2.com/display/IS500/Configuring+Single+Sign-On+with+SAML+2.0

【讨论】：

这不是远程 SP 配置吗？在这种情况下，WSO2IS 是 SP。在常驻 SP 配置页面中几乎什么都没有。