SAML IDP is unable to initiate SLO

問題

SAML Identity ProviderがSingle Log Outを開始できない。

メモ

1. 例として、以下のように異なるバーチャルホストを設定します。

127.0.0.1www.bbb.com (IDPの場合)

127.0.0.1www.sp.com (SP用)

2. テストテストユーザーを本テストで使用する。 IDPとSPで同じパスワードを共有していることを確認する。

リプロダクトステップ

最初のLiferayバンドルをIDPとして構成する
1. サーバーを起動します。サインイン時に、 DO NOT Remember Meのフラグを立ててください。
2. Admin > コントロールパネル > SAML Admin に移動します。
3. 一般」タブに移動し、以下を入力します：
  1. SAML Role（必須）：アイデンティティ・プロバイダー
  2. エンティティID（必須）：samlidp
4. 保存をクリックする
5. 証明書と秘密鍵」セクションで、以下を入力します：
  1. 通称（必須）：Liferayサポート
  2. 組織（必須）：Liferay
  3. 組織単位：（空欄のまま）
  4. ロケール：（空欄のまま）
  5. 州：（空欄のまま）
  6. 国名アメリカ
  7. 有効期限（日数）（必須）：356
  8. 鍵のアルゴリズムRSA
  9. 鍵の長さ（ビット）：2048
  10. キーパスワード（必須）：samlidp
6. 保存］をクリックします。
7. 有効」チェックボックスにチェックを入れ、「保存」をクリックする
8. コントロールパネル >SAML Admin で、Identity Provider をクリックします。
9. メタデータに署名する」「Authn署名が必要」がチェックされていることを確認する。
2つ目のLiferayバンドルをSPとして設定します。
1. このSPバンドルのポート番号を7080に変更します。
2. サーバーを起動します。サインインする際に、DONOT Remember Meチェックボックスにフラグを立てることを忘れないでください。
3. コントロールパネル > SAML Admin に移動します。
4. 一般」タブで、次のように入力します：
  1. SAMLの役割：サービスプロバイダ
  2. エンティティID（必須）：samlsp
5. ［保存］をクリックします。
6. 証明書と秘密鍵」セクションで、以下を入力します：
  1. 一般的な名称です：Liferay サポート
  2. 組織です：Liferay
  3. 組織ユニット: {leave blank}
  4. 地域: {leave blank}
  5. 州: {leave blank}
  6. 国名アメリカ
  7. 有効期限(日)(必須)：356
  8. 鍵のアルゴリズムRSA
  9. 鍵の長さ（ビット）：2048
  10. キーパスワード（必須）：samlsp
7. 保存をクリックする
8. Identity Provider Connection」をクリックします。以下を入力します：
  1. 名前（必須）：samlidp
  2. エンティティID：samlidp
  3. 有効 "にチェックを入れる
  4. メタデータURL：http://www.bbb.com:8080/c/portal/saml/metadata
  5. Name Identifier Formatのプルダウンメニューから「Eメールアドレス」を選ぶ
  6. 保存をクリックする
9. 一般」をクリックします。
10. 有効」にチェックを入れ、「保存」をクリックします。
IdPとして構成された最初のLiferayバンドルに戻る
1. コントロールパネル > SAML Admin に移動します。
2. サービスプロバイダー接続をクリックします。
3. サービスプロバイダーの追加]をクリックします。
4. 次のように入力します：
  1. 名称：samlsp
  2. エンティティID：samlsp
  3. "有効 "にチェックを入れる
  4. アサーションライフタイム：1800
  5. メタデータ URL：http：//www.sp.com:7080/c/portal/saml/metadata
  6. Name Identifierのフォーマット：電子メールアドレス
  7. 名前識別子属性名：emailAddress
5. 保存］をクリックします。
IdPが開始するSLOをテストするには
1. 新しいブラウザのタブを開いて、IdP（http://www.bbb.com:8080/ ）、test testuserでログインします。
2. 新しいブラウザのタブを開いてSP（http://www.sp.com:7080）を表示し、test testuserでログインします。
3. SLOをトリガーするためにIdPのサインアウトをクリックすると、IdPは正常にログアウトすることができます
4. SPのブラウザウィンドウに移動し、ページを更新する
期待される動作 SPもログアウトされる

実際の動作について SPがログアウトしていない

Environment

Liferay DXP 7.3

解決策

観測された動作は既知の問題です LPS-128578 Liferayのバージョンに応じたフィックスパックの最新リリースで修正されています。 Hotfixが必要な場合は、チケットを作成してください。
パッチのインストール

追加情報

Liferayのアップデート

SAML IDPはSLOを開始することができない。

問題

Environment

解決策

追加情報