OpenAM如何验证来自IDP的SAML响应

Question

OpenAM是否依赖于已注册IDP的公钥来验证SAML响应

或也取决于IDP的SAML响应中的哈希算法像Algorithm =“ http://www.w3.org/2000/09/xmldsig#sha1”

注意OpenAM版本：13.0.0

Answer 1

OpenAM，充当SAML SP，使用IdP元数据的KeyInfo元素中包含的公共密钥来验证SAML响应的签名。它使用IdP选择的签名算法，但是它必须是受支持的签名算法。

Answer 2

在即将发布的AM版本中，AM将（部分）实现algsupport spec，并且在签署SAML文档时将考虑远程实体提供商的元数据。

这意味着，作为托管实体提供者，AM将检查远程实体提供者的首选签名和摘要方法，并将使用满足密钥类型和密钥大小要求的第一个算法。

此工作已作为OPENAM-11266的一部分完成。