使用 SP 公共证书加密 SAML 2.0 断言 - 组件空间

Question

我了解（大部分）SAML 流程，因为我是在 WIF .NET 4.5 中使用组件空间之前编写的。

我不明白的是如何使用 SP 的证书加密 XML 断言。我找到的只是“它在低级 api 项目中”，但我找不到它。

在方法 SendSAMLResponse 中，我使用我的 pfx 来签署证书。如何使用 SP 的公共证书将断言加密到元素 <saml2:EncryptedAssertion> 中？

我知道你可以使用“高级 API”的方式，你可以在 saml.config 文件中设置一些值来加密它，但是我必须添加更多的属性，我认为我不能使用“高级 API”的方式。

    private SAMLResponse CreateSAMLResponse(string username, string uniqueKey)
    {
        SAMLResponse samlResponse = new SAMLResponse();
        samlResponse.Destination = EquatorConstants.ConsumerUrl;

        samlResponse.ID = "_" + Guid.NewGuid();

        Issuer issuer = new Issuer(EquatorConstants.Issuer);
        samlResponse.Issuer = issuer;

        samlResponse.Status = new Status(SAMLIdentifiers.PrimaryStatusCodes.Success, null);

        SAMLAssertion samlAssertion = new SAMLAssertion();
        samlAssertion.Issuer = issuer;

        //Subject subject = new Subject(new NameID(User.Identity.Name));
        Subject subject = new Subject(new NameID());
        SubjectConfirmation subjectConfirmation = new SubjectConfirmation(SAMLIdentifiers.SubjectConfirmationMethods.Bearer);
        SubjectConfirmationData subjectConfirmationData = new SubjectConfirmationData();
        subjectConfirmationData.Recipient = EquatorConstants.ConsumerUrl;
        subjectConfirmation.SubjectConfirmationData = subjectConfirmationData;
        subject.SubjectConfirmations.Add(subjectConfirmation);
        samlAssertion.Subject = subject;

        AuthnStatement authnStatement = new AuthnStatement();
        authnStatement.AuthnContext = new AuthnContext();
        authnStatement.AuthnContext.AuthnContextClassRef = new AuthnContextClassRef(SAMLIdentifiers.AuthnContextClasses.Password);
        authnStatement.AuthnInstant = DateTime.UtcNow;
        authnStatement.SessionNotOnOrAfter = DateTime.UtcNow.AddMinutes(double.Parse(SAMLConstants.TokenLifetime.ToString()));
        samlAssertion.Statements.Add(authnStatement);
        samlAssertion.Conditions.NotBefore = DateTime.UtcNow;
        samlAssertion.Conditions.NotOnOrAfter = DateTime.UtcNow.AddMinutes(double.Parse(SAMLConstants.TokenLifetime.ToString()));

        samlAssertion.IssueInstant = DateTime.UtcNow;
        samlAssertion.Version = "2.0";

        AttributeStatement attribStatement = new AttributeStatement();
        SAMLAttribute attribute = new SAMLAttribute("UserExternalKey", SAMLIdentifiers.AttributeNameFormats.Unspecified, null, uniqueKey);
        attribStatement.Attributes.Add(attribute);

        SAMLAttribute attribute2 = new SAMLAttribute("UserType", SAMLIdentifiers.AttributeNameFormats.Unspecified, null, "Workstation");
        attribStatement.Attributes.Add(attribute2);
        samlAssertion.Statements.Add(attribStatement);

        samlResponse.Assertions.Add(samlAssertion);

        return samlResponse;
    }

    private void SendSAMLResponse(SAMLResponse samlResponse, string relayState, HttpResponse response)
    {
        // Serialize the SAML response for transmission.
        XmlElement samlResponseXml = samlResponse.ToXml();

        // Sign the SAML response.
        X509Certificate2 x509Certificate = (X509Certificate2)LoadCertificate(string.Format("{0}/{1}.pfx", AppDomain.CurrentDomain.BaseDirectory, SAMLConstants.CertificateFileName), SAMLConstants.PfxPassword);
        SAMLMessageSignature.Generate(samlResponseXml, x509Certificate.PrivateKey, x509Certificate);

        IdentityProvider.SendSAMLResponseByHTTPPost(response, EquatorConstants.ConsumerUrl, samlResponseXml, relayState);
    }

Low Level API mention

Answer 1

ComponentSpace.SAML2.Assertions.EncryptedAssertion 类支持加密和解密 SAML 断言。

在您的代码中，替换以下行：

samlResponse.Assertions.Add(samlAssertion);

与：

// Encrypt the SAML assertion using the service provider's public key.
// Loading the x509Certificate is not shown but it could be loaded from a .CER file.        
EncryptedAssertion encryptedAssertion = new EncryptedAssertion(samlAssertion, x509Certificate);

// Add the encrypted assertion to the SAML response.        
samlResponse.Assertions.Add(encryptedAssertion);

如果您改用 SAML 高级 API，那么您只需在 SAML 配置 sam.config 文件中指定服务提供商的证书并加密 SAML 断言即可。

例如，您的 saml.config 将包括：

<PartnerServiceProvider Name="urn:componentspace:ExampleServiceProvider" 
                        EncryptAssertion="true" 
                        PartnerCertificateFile="sp.cer"

这意味着当向指定的合作伙伴服务提供商发送 SAML 断言时，SAML 断言将使用合作伙伴的证书文件进行加密。

您构建和发送 SAML 响应（包括加密的 SAML 断言）的代码将是：

SAMLIdentityProvider.InitiateSSO(Response, userName, attributes, targetUrl, partnerSP);

我们发布的高级 API ExampleIdentityProvider 和 MvcExampleIdentityProvider 项目证明了这一点。