受信任的证书条目不受密码保护的Spring SAML

Question

我已经通过复制我计划连接的Idp的509条目生成了testIdp.cer文件。然后，我通过执行以下命令创建了JKS文件

keytool -importcert -alias adfssigning -keystore C:\Users\user\Desktop\samlKeystore.jks -file    C:\Users\user\Desktop\testIdp.cer

执行时，它要求输入我已提供密码的密码。对于问题“信任此证书？[no]：“，我给出了”y“作为输入。消息显示为“证书已添加到密钥库”。

然后，我在securityContext.xml中配置了以下详细信息：

<bean id="keyManager" class="org.springframework.security.saml.key.JKSKeyManager">
    <constructor-arg value="classpath:security/samlKeystore.jks"/>
    <constructor-arg type="java.lang.String" value="mypassword"/>
    <constructor-arg>
        <map>
            <entry key="adfssigning" value="mypassword"/>
        </map>
    </constructor-arg>
    <constructor-arg type="java.lang.String" value="adfssigning"/>
</bean>

<bean class="org.springframework.security.saml.metadata.ExtendedMetadata">
  <property name="alias" value="adfssigning" />
  <property name="signingKey" value="adfssigning"/>     
</bean>

但是当我运行应用程序时，在服务器启动和加载应用程序的主页时，我得到了以下两个异常。有人能让我知道我是否还遗漏了什么吗？

当我启动服务器时，出现了这个异常

Caused by: org.opensaml.saml2.metadata.provider.FilterException: Signature trust establishment failed for metadata entry
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.verifySignature(SignatureValidationFilter.java:327)
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.processEntityGroup(SignatureValidationFilter.java:240)
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.doFilter(SignatureValidationFilter.java:158)
at org.opensaml.saml2.metadata.provider.AbstractMetadataProvider.filterMetadata(AbstractMetadataProvider.java:493)
at org.opensaml.saml2.metadata.provider.AbstractReloadingMetadataProvider.processNonExpiredMetadata(AbstractReloadingMetadataProvider.java:395)

当我运行应用程序的主页时，出现了这个异常

java.lang.UnsupportedOperationException: trusted certificate entries are not password-protected
at java.security.KeyStoreSpi.engineGetEntry(Unknown Source)
at java.security.KeyStore.getEntry(Unknown Source)
at org.opensaml.xml.security.credential.KeyStoreCredentialResolver.resolveFromSource(KeyStoreCredentialResolver.java:132)

Answer 1

当密钥库中没有私钥时，也会发生此错误。SAML使用私钥生成用于与IDP通信的服务提供商元数据。只需向密钥库添加一个，如下所示：

keytool -genkey -v -keystore some_key_store.jks -alias some_alias -keyalg RSA -keysize 2048 -validity 36500

填写问题并将有效期设置为适当的天数。（在我的例子中，它的有效期为100年）请记住从 IDP 添加公共证书。然后你应该准备好了。

Answer 2

弗拉基米尔正确回答了为什么会出现错误的问题。在我的回答中，我想展示如何将证书导入到密钥库中来解决这个问题:

您必须导入证书和私钥，而密钥工具无法直接完成。

详细描述的解决方案可在此处找到：https://stackoverflow.com/a/8224863/1909531

以下是摘录:

openssl pkcs12 -export -in server.crt -inkey server.key \
           -out server.p12 -name [some-alias] \
           -CAfile ca.crt -caname root

keytool -importkeystore \
    -deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
    -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
    -alias [some-alias]

Answer 3

您的<代码>。cer证书只包含一个公钥，不能定义< code >

SAML 密钥库可以包含两种基本类型的密钥 - 公钥和私有密钥（以及它们的证书）。每个键都有一个别名，用于引用它。密钥库本身可以由密码保护（在第二个构造函数参数中提供），并且每个私钥也可以由一个附加密码保护（这些密码在别名映射的构造函数的第三个参数中定义-

上面的示例失败，因为您导入了一个公钥，但将其包含在只能用于私钥的映射中。