以Junos为IdP的“签名没有根据凭据的密钥进行验证”

Question

我被重定向到我的IdP的登录页面，并可以成功地输入我的凭据。但是出现这样的错误“签名没有根据凭据的密钥进行验证”。

还有另一篇stackoverflow文章描述了类似的问题，请参见“HTTP Status 401-Authentication Failed：传入的SAML消息无效”，将Salesforce用作实现SSO的IdP

但是我在遵循解决方案时遇到了一些问题，因为Fiddler捕获的SAML响应不包含“x509certificate”这样的元素。

提前感谢，

安迪

Answer 1

似乎响应消息是使用与IdP元数据中包含的证书不同的证书签名的。您应该要求IdP告诉您他们使用什么证书进行签名，并将它们添加到元数据文件中。根据您所说的，也可能是元数据文件只是不完整或损坏。

另一个选择是将它们提供给您的证书添加到samlkeystore.jks（并记住别名）。然后在Spring配置中IDP元数据定义的extendedMetadata上将别名定义为signingkey。您可以在Spring SAML手册中找到关于使用ExtendedMetadata的详细信息。

响应消息中没有包含密钥这一事实并没有错，Spring SAML从metadata和ExtendedMetadata配置中知道要使用哪些密钥。