Keycloak IdP SAML 2 将 XML 元数据导出到 SP

Question

我正在使用 Keycloak 版本 1.6.1，新安装为独立应用程序。

Keycloak 应该充当名为 Tableau 的 SP（服务提供商）的 IdP（身份提供商）。

我已阅读此页面：http://blog.keycloak.org/2015/03/picketlink-and-keycloak-projects-are.html

...Keycloak 从身份经纪人成长为成熟的 身份提供者

虽然它是一个身份代理，但现在它也是一个身份提供商。

我的问题是：

我已经从 Tableau 导出了 SP XML 元数据，并将其导入到 Keycloak 中，但是当涉及到从 Keycloak 导出 IdP XML 元数据（应导入到 Tableau 中）时，我找不到任何有关的按钮/命令/指南如何导出此 XML 文件。

我曾与其他 IdP 合作，他们都支持 IdP 元数据的导出，您可以在此处查看示例：https://docs.oracle.com/cd/E19636-01/819-7664/g2enua/index。 html

如果我搜索 Keycloak 和关键字 IDPSSODescriptor 我会发现： grepcode.com/file/repo1.maven.org/maven2/org.keycloak/keycloak-saml-protocol/1.1.0.Beta2/idp-metadata-template.xml

这正是我需要的“模板”，在所有 ${idp.sso.HTTP-POST} 等位置都有正确的链接。

我是否应该手动创建该文件 - 如果是这样，我如何找到正确的 POST、REDIRECT 等 URL？

或者有什么方法可以导出我没见过的这个文件吗？

Answer 1

自 Keycloak 3.x 起，IdP XML 描述符在 keycloak-url 之后需要 /auth/

https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}/protocol/saml/descriptor

Answer 2

有时，以书面形式指定您需要什么是一件好事 - 我在 Stack Overflow 上就是这样做的。

我找到了 Keycloak 上可以导出 IdP XML 的 URL

https://keycloak-url/realms/{REALM-NAME}/protocol/saml/descriptor

这给了我 IDPSSODescriptor。

我将把这个帖子留在这里，这样人们就可以从我的错误中受益。

Answer 3

原始海报是正确的，选项

SAML Metadata IDPSSODescriptor

在Keycloak上不再可用

6.0.1

需要进行的一项更改是，当您使用 URL

https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}/protocol/saml/descriptor

时，Rancher 期望根元素为

EntityDescriptor

，因此您需要删除

EntitiesDescriptor

并从根元素复制命名空间。

即

<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:dsig="http://www.w3.org/2000/09/xmldsig#" entityID="https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}">
  ....

</EntityDescriptor>

Answer 4

在您的领域中，单击左侧菜单中的“领域设置”。在“端点”的“常规”选项卡下，单击“SAML 2.0 身份提供商元数据”。 IdP 元数据将显示在新的浏览器选项卡中。

Answer 5

我想增强@ericj 的答案。您只需单击“SAML 2.0 身份提供商元数据”，完成后它将在新选项卡中打开，然后您需要复制新选项卡的该 url 并转到您的服务提供商，并在导入部分中输入此 url 而不是导入 .xml 格式的文件。您的 SP 将仅从该 URL 获取所有必要的数据。就完成了。

Answer 6

您还可以从 Keycloak Web 控制台、领域设置 -> 端点获取元数据 URL。