macadmins/sal-saml

sal-saml

用于Sal的Docker容器，集成了SAML认证功能。使用前需编辑settings.py并提供SAML提供商的metadata.xml文件。

以下说明旨在帮助快速启动，可能需要根据具体环境进行调整。

必须修改的settings.py配置

• SAML_ATTRIBUTE_MAPPING（值来自OpenLDAP、Active Directory等）
• SAML_CONFIG
  • entityid 示例：[***]
  • assertion_consumer_service 示例：[***]
  • single_logout_service 示例：[] 和 []
  • required_attributes - 应与SAML_ATTRIBUTE_MAPPING中的值匹配
  • idp
    • root url 示例：[***]
    • single_sign_on_service 示例：[***]
    • single_logout_service 示例：[***]

Docker运行示例

请注意，以下docker run命令不完整，仅展示如何传递metadata.xml和settings.py。此外，除非有特殊原因（如需要开发版本），否则不应使用latest标签。执行docker run时，应将latest替换为最新的已标记版本。

bash
docker run -d --name="sal" \
-p 80:8000 \
-v /yourpath/metadata.xml:/home/docker/sal/sal/metadata.xml \
-v /yourpath/settings.py:/home/docker/sal/sal/settings.py \
--restart="always" \
macadmins/sal-saml:latest

OneLogin配置说明

1. 在OneLogin管理门户中，点击“应用 > 添加应用”。

2. 搜索“SAML Test Connector (IdP)”并点击该选项。

3. 为应用命名，可选上传图标，然后点击“保存”。

4. 在“配置”选项卡中，至少需设置以下参数：

   • Recipient：[***]
   • ACS (Consumer) URL Validator：.*（注意是句点后跟星号）
   • ACS (Consumer) URL：[***]

5. 在“参数”选项卡中，添加自定义iDP字段/值，步骤如下：

   • 点击“添加参数”
     • 字段名称：FIELD_NAME
     • 标志：勾选“包含在SAML断言中”
   • 点击创建的字段，根据下表设置相应的FIELD_VALUE。

   对所有必填字段重复上述步骤：

   FIELD_NAME	FIELD_VALUE
   urn:mace:dir:attribute-def:cn	名字
   urn:mace:dir:attribute-def:sn	姓氏
   urn:mace:dir:attribute-def:mail	***
   urn:mace:dir:attribute-def:uid	***用户名部分

6. 在“SSO”选项卡中，下载“Issuer URL”元数据文件，该文件需挂载到Docker容器中（见上文Docker运行示例）。

7. 在“SSO”选项卡中，找到“SAML 2.0 Endpoint”和“SLO Endpoint”，并填入settings.py的idp部分。

8. 最后，保存“SAML Test Connector (IdP)”配置。

Okta配置说明

Okta的实现略有不同，本容器使用的部分工具（特别是https://github.com/rohe/pysaml2%E5%92%8Chttps://github.com/knaperek/djangosaml2%EF%BC%89%E9%BB%98%E8%AE%A4%E6%83%85%E5%86%B5%E4%B8%8B%E5%8F%AF%E8%83%BD%E4%B8%8D%E5%85%BC%E5%AE%B9%E3%80%82%E8%AF%B7%E6%8C%89%E7%85%A7%E4%BB%A5%E4%B8%8B%E6%AD%A5%E9%AA%A4%E8%AE%BE%E7%BD%AE%EF%BC%8C%E7%A1%AE%E4%BF%9D%E6%9B%BF%E6%8D%A2%E7%A4%BA%E4%BE%8BURL%EF%BC%9A

1. 从管理门户创建新应用

   平台：Web
   登录方法：SAML 2.0

2. 在“常规设置”中，为应用命名、添加logo，并根据需要修改应用可见性。

3. 在“配置SAML”中输入以下内容（冒号后无值则留空）：

   常规

   单点登录URL：[]
   将此用于收件人URL和目标URL：已勾选
   允许此应用请求其他SSO URL：未勾选（如该选项可用）
   受众URI（SP实体ID）：[]
   默认RelayState：未指定
   应用用户名：Okta用户名

   属性语句

   名称	格式	值
   urn:mace:dir:attribute-def:cn	Basic	${user.firstName}
   urn:mace:dir:attribute-def:sn	Basic	${user.lastName}
   urn:mace:dir:attribute-def:mail	Basic	${user.email}
   urn:mace:dir:attribute-def:uid	Basic	${user.login}

   组属性语句

   Sal目前不支持此功能。

4. 在“反馈”中：

   您是客户还是合作伙伴？我是添加内部应用的Okta客户
   应用类型：这是我们创建的内部应用

5. 从以下位置下载元数据文件：“登录”选项卡 > 设置 > SAML 2.0 > “身份提供商元数据”链接

   • 将文件重命名为metadata.xml以匹配Docker运行示例，并确保将其移动到Docker主机的正确位置。

6. 在“登录”选项卡 > 设置 > SAML 2.0 > “查看设置说明”中，找到“身份提供商单点登录URL”和“身份提供商颁发者”，并填入settings.py的idp部分。

帮助信息

有关settings.py配置的更多信息，请查看https://github.com/knaperek/djangosaml2
此外，可加入MacAdmins Slack团队的#sal频道（[***]