Spring Security SAML受信任的证书条目不受密码保护

Question

我正在将spring-saml2-sample应用程序集成到我自己的应用程序中。我的服务提供商连接到Shibboleth IDP。我正在使用Spring Security SAML应用程序附带的samlkeystore.jks中提供的私有证书测试SP。我使用以下命令在密钥库中注册了IDP签名公钥：keytool-importcert-alias idpsignkey-keypass passwordS-file key.cer-keystore samlkeystore.jks

我可以运行应用程序和登录与IDP。我可以在日志中看到，他们在saml消息中向我发回的公共证书对应于我在idp元数据中拥有的并在密钥库中注册的证书。我的应用程序在从JKSKeyManager获取idp凭据时中断。

java.lang.UnsupportedOperationException：受信任的证书项不是受密码保护的java.Security.KeyStorespi.EngineGetEntry（未知源）java.Security.KeyStore.GetEntry（未知源）org.opensaml.xml.Security.CredentialResolver.ResolveFromSource（KeyStoreCredentialResolver.java:132)org.opensaml.xml.Security.CredentialResolver.ResolveFromSource（PenSaml.Security.MetadataCredentialResolver.ResolveFromSource（MetadataCredentialResolver.java:169)

这就是ContextSecurity.xml中KeyManager的外观：

<！--加密密钥的集中存储--> security.saml.key.jksKeyManager”">

这是IDP的扩展元数据：




Answer 1

IDP的证书通常不需要导入到密钥库，因为它们是从IDP的元数据提供的。如果要补充元数据中已有的密钥，则只应使用extendedmetadata和属性signingkey和/或encryptionkey。

由于文件key.cer仅包含IDP的公钥，因此无法对其进行密码保护。您只需从用于初始化JKSKeyManager的映射中删除它，因为它只需要包含私钥的条目的密码。初始化结果如下所示：

<!-- Central storage of cryptographic keys -->
<bean id="keyManager" class="org.springframework.security.saml.key.JKSKeyManager">
    <constructor-arg value="classpath:security/samlKeystore.jks"/>
    <constructor-arg type="java.lang.String" value="nalle123"/>
    <constructor-arg>
        <map>
            <entry key="apollo" value="nalle123"/>
        </map>
    </constructor-arg>
    <constructor-arg type="java.lang.String" value="apollo"/>
</bean>