SAML SSO 응답

개요

SAML2.0 기반 SSO 프로세스에서 기업 사용자가 IdP에 로그인할 때 IdP는 SAML statement을 포함하는 인증 응답을 생성하고 브라우저로 씨디네트웍스에 자동으로 전달한다.이 SAML statement은 사용자의 로그인 상태를 확인하고 로그인 대상을 해석하는 데 사용된다…따라서 SAML응답에는씨디네트웍스에 필요한 element가 포함되어야 한다. 그렇지 않으면 로그인 사용자를 식별할 수 없으므로 SSO가 실패한다.

SAML 응답

<saml2p:Response>
    <saml2:Issuer>${entityID}</saml2:Issuer>
    <ds:Signature>
     …
    </ds:Signature>
    <saml2p:Status>
     …
    </saml2p:Status>
    <saml2:Assertion>
        <saml2:Issuer>${entityID}</saml2:Issuer>
        <ds:Signature>
        …
        </ds:Signature>
        <saml2:Subject>
          <saml2:NameID>${NameID}</saml2:NameID>
          <saml2:SubjectConfirmation>
		…
          </saml2:SubjectConfirmation>
        </saml2:Subject>
        <saml2:Conditions>
          <saml2:AudienceRestriction>
          	<saml2:Audience>${Audience}</saml2:Audience>
          </saml2:AudienceRestriction>
        </saml2:Conditions>
        <saml2:AuthnStatement>
         …
        </saml2:AuthnStatement>
        <saml2:AttributeStatement>
          <saml2:Attribute Name="https://login.cdnetworks.com/SAML/Attributes/LoginName" >
            …
          </saml2:Attribute>
		 <saml2:Attribute Name="https://login.cdnetworks.com/SAML/Attributes/RoleSessionName">
            …
          </saml2:Attribute>
          …
        </saml2:AttributeStatement>
    </saml2:Assertion>
</saml2p:Response>

SAML Assertion의 각 element별 설명

• SAML 2.0 프로토콜의 공통 element

사용자 정의 element

SAML Assertion의 AttributeStatement element에는 다음과 같은 Attribute element가 포함되어야 한다.

• Name Attribute 속성 : https://login.cdnetworks.com/SAML/Attributes/LoginName의 Attribute element로, 필수이며 여러 개의 Attribute element를 가질 수 있다.(인터페이스에서는 업로드가 지원되지만 프로그램에서는 지원되지 않는다. 첫 번째 값만 사용된다.).
  여기에 포함된 AttributeValue element 값은 사용자가 현재 액세스할 수 있는 ID제공자를 나타낸다. 값은 쉼표로 구분된 사용자 설명과 ID 제공자 설명의 조합에 있다.

<saml2:Attribute Name="https://login.cdnetworks.com/SAML/Attributes/LoginName" >  

<saml2:AttributeValue>wsc:iam::${parentLoginName}:login-name/${loginName},wsc:iam::${parentLoginName}:saml-provider/${provider}</saml2:AttributeValue>        
     <saml2:AttributeValue>wsc:iam::${parentLoginName}:login-name/${loginName},wsc:iam::${parentLoginName}:saml-provider/${provider}</saml2:AttributeValue>  
</saml2:Attribute>

• 이 Attribute은 다음과 같다
  • ${parentLoginName}: 씨디네트웍스의 메인계정(main account)로 변경한다;
  • ${loginName}: 현재 IdP 사용자가 CDNetworks에 접근할 때 사용하는 CDNetworks 계정으로 대체한다.
  • ${provider}: 씨디네트웍스 콘솔에 생성한 SAML 인증 공급자의 이름으로 대체한다.

2. Name Attribute 속성

• RoleSessionName은 https://login.cdnetworks.com/SAML/Attribute 필수 element이며, 하나만 가질 수 있다.
  포함된 AttributeValue element 값은 콘솔 및 작업 감사 로그에 로그인 사용자 정보의 일부로 표시하는 데 사용된다. 이 필드는 사용자가 사용자 정의할 수 있으며 길이는 32자를 넘지 않는다.포맷은 다음과 같다:

<saml2:Attribute Name="https://login.cdnetworks.com/SAML/Attributes/RoleSessionName">
     <saml2:AttributeValue>${NameID}</saml2:AttributeValue>          
</saml2:Attribute>

다음은 RoleSessionName의 Attribute element 예제이다.

<saml2:Attribute Name="https://login.cdnetworks.com/SAML/Attributes/RoleSessionName">
     <saml2:AttributeValue>admin</saml2:AttributeValue>          
</saml2:Attribute>