如何使用Google SAML签署断言

Question

我正在尝试使用谷歌办公套件设置SAML。但是我得到了这个错误响应断言未签名，SP需要它。

我已经配置断言应该在我的SP中签名。我可以在其他IDP（如onelogin、okta）中看到签署响应断言的选项。该配置适用于其他IDP，但看不到在谷歌办公套件SAML中唱响应断言的选项。

在Gsuite中，我只能看到签名响应的选项，而不能看到断言。

如何正确设置此设置？

SP元数据如下所示：

<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:SignedInfo>
<ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
<ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"/>
<ds:Reference URI="#pfxd76b3d5e-171f-a19e-7655-e6cc6664adb0">
<ds:Transforms>
<ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
<ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
</ds:Transforms>
<ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/>
<ds:DigestValue>/K0lp4rOuuVcuRlMsx14/t2n0LkkDdJqzyiEa2sar/E=</ds:DigestValue>
</ds:Reference>
</ds:SignedInfo>
<ds:SignatureValue>xxxx</ds:SignatureValue>
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>xxxx</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</ds:Signature>
<md:SPSSODescriptor AuthnRequestsSigned="true" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<md:KeyDescriptor use="signing">
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:X509Data>
<ds:X509Certificate>xxxx</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</md:KeyDescriptor>
<md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="xxxx/sso/611b7d0d3783084966599da3/slo"/>
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="xxxx/sso/611b7d0d3783084966599da3/acs" index="1"/>
<md:AttributeConsumingService index="1">
<md:ServiceName xml:lang="en">SP test</md:ServiceName>
<md:ServiceDescription xml:lang="en">Test Service</md:ServiceDescription>
<md:RequestedAttribute Name="" NameFormat="" FriendlyName="" isRequired="false"/>
</md:AttributeConsumingService>
</md:SPSSODescriptor>
</md:EntityDescriptor>```

Answer 1

据此，

（可选）如果服务提供商要求对整个SAML身份验证响应进行签名，请选中签名响应框。如果未选中此选项（默认设置），则仅对响应中的断言进行签名。

您可能希望取消选中该框，让默认行为接管。