ADFS 2.0中的SAML 2签名错误

Question

在SSO场景中，我们使用ADFS 2.0作为IDP，使用Shibboleth作为SP。这是SP启动的登录。配置后，当我尝试在Shibboleth和ADFS 2.0之间建立通信（抛出浏览器重定向）时，ADFS 2.0抛出以下错误。

SAML消息签名验证失败。消息颁发者：<代码>http://sampleserver/adfs/services/trust异常详细信息：MSIS015:服务器需要签名的SAML身份验证请求，但不存在签名。

事件id-320相关事件id-364

> Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolSignatureVerificationException:
> MSIS1015: Server required signed SAML AuthenticationRequest but no
> signature present.    at
> Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolService.ValidateSignatureRequirements(SamlMessage
> samlMessage)    at
> Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolService.Issue(IssueRequest
> issueRequest)    at
> Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolService.ProcessRequest(Message
> requestMessage)

我们还没有使用任何签名。我还在ADFS属性中将SignedSamlRequest设为false。Shibboleth上的SAML签名也被禁用。

除了这类错误的通用指南之外，我在微软网站上找不到任何信息。

请对此错误提供建议。

Answer 1

经过大量分析，我找到了解决方案。这是一个Shibboleth配置问题。在“应用程序默认值”部分中，实体ID对于应用程序来说应该是唯一的。

应用程序默认签名="false"entityID="超文本传输协议：//受保护应用程序的URL"REMOTE_USER="eppn持久化ID目标ID"

当sigining设置为true时，会发生此错误的另一种变化。这将导致ADF中出现签名不匹配错误。