Liferay は、完全に署名された SAML レスポンスのみを受け入れる。 この条件をオフにすることはできますか？

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• セキュリティの観点から、レスポンスに署名することはベストプラクティスである。 しかし、他のアプリではこの要件をオフにすることができる。
• Liferayがデフォルトでレスポンスの完全な署名を要求していることは理解できますが、これを何らかの方法でオフにすることはできますか？

Environment

• DXP 7.3+

解決策

• SAML標準は、ブラウザを使用するSAMLバインディングでは署名検証を必須(MUST)としている。 Liferay は SSO に HTTP Post バインディングを使いますが、これはこのカテゴリーに入ります。
• つまり、SAMLメッセージの悪意のあるキャプチャと返信を防止するために、プライベート・ネットワーク上のすべてのユーザとワークステーションのセキュリティを信頼することになる。
• このリスクを許容できる場合は、SAMLコードを変更することができる。
  セキュリティ上の理由から、このメソッドを推奨またはサポートすることはできない。
  
  WebSsoProfileImplでは、メソッド「doProcessResponse」
  を次のように変更する。
  

  MessageContext messageContext = decodeSamlMessage(
  httpServletRequest, httpServletResponse,
  getSamlBinding(SAMLConstants.SAML2_POST_BINDING_URI), true)；

  宛先
  

  MessageContext messageContext = decodeSamlMessage(
  httpServletRequest, httpServletResponse,
  getSamlBinding(SAMLConstants.SAML2_POST_BINDING_URI), false)；