기존 사용자 기반에서 SAML 도입

aleber · 7월 30, 2020, 7:05오전

현재 설치된 Discourse에서는 신규 사용자 등록이 비활성화되어 있으며, 로그인 과정은 LDAP 플러그인( GitHub - jonmbake/discourse-ldap-auth: Discourse plugin to enable LDAP/Active Directory authentication. · GitHub)을 통해 이루어집니다. 따라서 내부 사용자 중 상당수는 이미 존재하며, 다양한 콘텐츠를 생성해 두었습니다.

Okta와 통합하기 위해 SAML로 설치/이전을 진행하라는 요청을 받았습니다. DISCOURSE_SAML_AUTO_CREATE_ACCOUNT: true 옵션을 사용하여 플러그인(GitHub - discourse/discourse-saml: Support for SAML in Discourse · GitHub)을 설치했습니다. 요구 사항은 사용자가 존재하지 않는 경우 생성하고, 사용자가 이미 존재하는 경우(예: 이전에 LDAP로 생성된 경우)에는 해당 사용자를 재사용하는 것입니다. 그러나 실제로는 이미 존재하는 사용자 이름으로 새 사용자를 생성하려 하다가 당연히 오류가 발생했습니다. 자동 생성 옵션을 제거하면, 올바른 사용자 이름이 미리 입력되어 있지만 충돌을 피하기 위해 숫자 접두사가 붙은 상태로 등록 정보를 편집할 수 있는 팝업이 표시됩니다. 제 상황에서는 이것이 해결책이 될 수 없습니다.

어떤 제안이 있으신가요?

아래의 오래된 게시글이 관련이 있을 수 있지만, 답변이 없습니다.
https://meta.discourse.org/t/verify-if-user-is-already-logged-sso-with-saml2-discourse-saml/73213
(게시글에 링크를 두 개 이상 올릴 수 없어 죄송합니다)

미리 감사드립니다.
AB

pfaffman · 7월 30, 2020, 12:26오후

사용자는 일반적으로 이메일 주소로 매칭됩니다. LDAP와 SAML은 동일한 이메일 주소를 사용하지 않나요?

aleber · 8월 1, 2020, 5:04오전

이메일 주소는 동일합니다. 아마도 SAML 페이로드에 무엇이 포함되어 있는지 확인해야 할 것 같습니다.

힌트 주셔서 감사합니다. 확인해 보겠습니다.

aleber · 8월 4, 2020, 5:11오후

다음과 같은 오류가 발생하고 있습니다:

Started POST "/auth/saml" for 188.114.103.216 at 2020-08-04 16:46:20 +0000
(saml) Request phase initiated.
Started POST "/auth/saml/callback" for 188.114.103.216 at 2020-08-04 16:46:21 +0000
(saml) Callback phase initiated.
Processing by Users::OmniauthCallbacksController#complete as HTML
  Parameters: {"SAMLResponse"=>"........", "RelayState"=>"", "provider"=>"saml"}
Completed 422 Unprocessable Entity in 16ms (ActiveRecord: 0.0ms | Allocations: 4546)
ActiveRecord::RecordInvalid (Validation failed: Primary email is invalid.)
lib/distributed_mutex.rb:33:in `block in synchronize'
lib/distributed_mutex.rb:29:in `synchronize'
lib/distributed_mutex.rb:29:in `synchronize'
lib/distributed_mutex.rb:14:in `synchronize'
app/controllers/users/omniauth_callbacks_controller.rb:37:in `complete'
app/controllers/application_controller.rb:350:in `block in with_resolved_locale'
app/controllers/application_controller.rb:350:in `with_resolved_locale'
lib/middleware/omniauth_bypass_middleware.rb:47:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/anonymous_cache.rb:328:in `call'
config/initializers/100-quiet_logger.rb:19:in `call'
config/initializers/100-silence_logger.rb:31:in `call'
lib/middleware/enforce_hostname.rb:22:in `call'
lib/middleware/request_tracker.rb:176:in `call'
Failed to handle exception in exception app middleware : Validation failed: Primary email is invalid.

SAML 응답 페이로드를 확인해 보니 다음과 같습니다(명백한 이유로 일부 데이터는 제거됨):

<?xml version="1.0" encoding="UTF-8"?>
<saml2p:Response xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:xs="http://www.w3.org/2001/XMLSchema" Destination="https://example.com/auth/saml/callback" ID="id123" IssueInstant="2020-08-04T16:39:45.888Z" Version="2.0">
   <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">http://www.okta.com/xyz</saml2:Issuer>
   <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
      <ds:SignedInfo>
         <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
         <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
         <ds:Reference URI="#id123">
            <ds:Transforms>
               <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
               <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                  <ec:InclusiveNamespaces xmlns:ec="http://www.w3.org/2001/10/xml-exc-c14n#" PrefixList="xs" />
               </ds:Transform>
            </ds:Transforms>
            <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" />
            <ds:DigestValue>....</ds:DigestValue>
         </ds:Reference>
      </ds:SignedInfo>
      <ds:SignatureValue>...</ds:SignatureValue>
      <ds:KeyInfo>
         <ds:X509Data>
            <ds:X509Certificate>...</ds:X509Certificate>
         </ds:X509Data>
      </ds:KeyInfo>
   </ds:Signature>
   <saml2p:Status>
      <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
   </saml2p:Status>
   <saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="id123" IssueInstant="2020-08-04T16:39:45.888Z" Version="2.0">
      <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">http://www.okta.com/xyz</saml2:Issuer>
      <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
         <ds:SignedInfo>
            <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
            <ds:Reference URI="#id123">
               <ds:Transforms>
                  <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                  <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                     <ec:InclusiveNamespaces xmlns:ec="http://www.w3.org/2001/10/xml-exc-c14n#" PrefixList="xs" />
                  </ds:Transform>
               </ds:Transforms>
               <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" />
               <ds:DigestValue>...</ds:DigestValue>
            </ds:Reference>
         </ds:SignedInfo>
         <ds:SignatureValue>...</ds:SignatureValue>
         <ds:KeyInfo>
            <ds:X509Data>
               <ds:X509Certificate>...</ds:X509Certificate>
            </ds:X509Data>
         </ds:KeyInfo>
      </ds:Signature>
      <saml2:Subject>
         <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">my.name</saml2:NameID>
         <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
            <saml2:SubjectConfirmationData NotOnOrAfter="2020-08-04T16:44:45.888Z" Recipient="https://example.com/auth/saml/callback" />
         </saml2:SubjectConfirmation>
      </saml2:Subject>
      <saml2:Conditions NotBefore="2020-08-04T16:34:45.888Z" NotOnOrAfter="2020-08-04T16:44:45.888Z">
         <saml2:AudienceRestriction>
            <saml2:Audience>https://example.com</saml2:Audience>
         </saml2:AudienceRestriction>
      </saml2:Conditions>
      <saml2:AuthnStatement AuthnInstant="2020-08-04T06:53:32.462Z" SessionIndex="id789">
         <saml2:AuthnContext>
            <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
         </saml2:AuthnContext>
      </saml2:AuthnStatement>
      <saml2:AttributeStatement>
         <saml2:Attribute Name="screenName" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
            <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">my.name@example.com</saml2:AttributeValue>
         </saml2:Attribute>
      </saml2:AttributeStatement>
   </saml2:Assertion>
</saml2p:Response>

어떤 아이디어가 있을까요?

감사합니다,
AB

pfaffman · 8월 4, 2020, 8:47오후

SAML이 이메일 주소를 올바르게 종료하지 않는 것 같습니다. 아니면 잘못된 필드를 확인하고 계신 건가요?

aleber · 8월 5, 2020, 1:29오후

문제는 Okta/SAML이 해당 필드에 이메일 대신 사용자 이름을 전송하고 있다는 것입니다.

<saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">my.name</saml2:NameID>

email이라는 새 속성을 추가하고, 프로젝트를 포크하여 이 새 속성에서 값을 읽어 result.mail을 설정하도록 수정했습니다(속성이 존재하는 경우).

곧 풀 리퀘스트를 생성하겠습니다.

감사합니다.
AB

글		댓글	조회수
Attempting to Auto Create Accounts When Using SAML Plugin SSO	1	1831	6월 4, 2019
Discourse-saml + Okta endless redirect SSO	7	4786	7월 20, 2017
Discourse-saml as sole login method Self-hosting	5	1607	7월 27, 2017
Authenticate with SAML gives hashed username and e-mail SSO	7	1304	5월 3, 2023
Keycloak, Discourse and SAML again SSO	1	868	10월 19, 2022

기존 사용자 기반에서 SAML 도입

Related topics