Keycloak IdP SAML 2将XML metdata导出到SP

Question

我正在使用Keycloak版本1.6.1,作为独立应用程序新安装.

Keycloak应该充当名为Tableau的SP(服务提供商)的IdP(身份提供商).

我已阅读此页面:http://blog.keycloak.org/2015/03/picketlink-and-keycloak-projects-are.html

......来自Identity Broker的Keycloak发展成为完全成熟的身份提供商

虽然它是Identity Broker,但它现在也是一个身份提供商.

我的问题是:

我已经从Tableau导出了SP XML元数据,我将其导入Keycloak,但是当从Keycloak导出IdP XML元数据(应该导入到Tableau中)时,我无法找到关于如何导入的按钮/命令/指南导出此XML文件.

我与其他IdP合作过,他们都支持IdP元数据的导出,您可以在此处看到一个示例:https://docs.oracle.com/cd/E19636-01/819-7664/g2enua/index.html

如果我搜索Keycloak和关键字IDPSSODescriptor,我会发现: grepcode.com/file/repo1.maven.org/maven2/org.keycloak/keycloak-saml-protocol/1.1.0.Beta2/idp-metadata-template.xml

这正是我需要的'模板',所有$ {idp.sso.HTTP-POST}等地方都有正确的链接.

我应该手动创建文件 - 如果是这样,我如何找到正确的POST,REDIRECT等URL？

或者是否有某种导出此文件的方法我还没见过？

Answer 1

有时候以书面形式指定你需要的东西是件好事 - 我在Stack Overflow上做过这件事.

我找到了Keycloak上可以导出IdP XML的URL

https://keycloak-url/realms/{REALM-NAME}/protocol/saml/descriptor

这给了我IDPSSODescriptor.

我将把这个帖子留在这里,这样人们就可以从我的错误中受益.

Answer 2

从Keycloak 3.x开始，IdP XML描述符在keycloak-url之后需要/ auth /

https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}/protocol/saml/descriptor

Answer 3

原始海报是正确的，该选项SAML Metadata IDPSSODescriptor在 Keycloak 上不再可用6.0.1

要进行的一项更改是，当您使用 URL 时https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}/protocol/saml/descriptor，Rancher 期望根元素是EntityDescriptor 这样，因此您需要EntitiesDescriptor从根元素中删除和复制命名空间。

IE

<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:dsig="http://www.w3.org/2000/09/xmldsig#" entityID="https://{KEYCLOAK-URL}/auth/realms/{REALM-NAME}">
  ....

</EntityDescriptor>