Question

我已在我的系统中集成了SAML 2.0，而我正在像IDP一样使用文件http://idp.ssocircle.com/idp-meta.xml。上周我的应用程序工作正常，但从昨天（2016年12月5日）起，我在配置文件中没有做任何修改时出错。

The error is: 
2016-12-06 10:00:07 ERROR: PKIX path construction failed for untrusted credential: [subjectName='CN=idp.ssocircle.com' |credential entityID='https://idp.ssocircle.com']: unable to find valid certification path to requested target
2016-12-06 10:00:07 INFO : I/O exception (javax.net.ssl.SSLPeerUnverifiedException) caught when processing request: SSL peer failed hostname validation for name: null
2016-12-06 10:00:07 INFO : Retrying request

我的metada bean是：

<bean id="metadata" class="org.springframework.security.saml.metadata.CachingMetadataManager">
<constructor-arg>
    <list>
        <bean class="org.opensaml.saml2.metadata.provider.HTTPMetadataProvider">
            <constructor-arg>
                <value type="java.lang.String">http://idp.ssocircle.com/idp-meta.xml</value>
            </constructor-arg>
            <constructor-arg>
                <value type="int">5000</value>
            </constructor-arg>
            <property name="parserPool" ref="parserPool"/>
        </bean>
        <bean class="org.springframework.security.saml.metadata.ExtendedMetadataDelegate">
            <constructor-arg>
                <bean class="org.opensaml.saml2.metadata.provider.FilesystemMetadataProvider">
                    <constructor-arg>
                             <value type="java.io.File">WEB-INF/saml/sp_sg.xml</value>
                       </constructor-arg>
                    <property name="parserPool" ref="parserPool"/>
                </bean>
            </constructor-arg>
            <constructor-arg>
                <bean class="org.springframework.security.saml.metadata.ExtendedMetadata">
                    <property name="local" value="true"/>
                    <property name="securityProfile" value="metaiop"/>
                    <property name="sslSecurityProfile" value="pkix"/>
                    <property name="signMetadata" value="true"/>
                    <property name="signingKey" value="apollo"/>
                    <property name="encryptionKey" value="apollo"/>
                    <property name="requireArtifactResolveSigned" value="false"/>
                    <property name="requireLogoutRequestSigned" value="false"/>
                    <property name="requireLogoutResponseSigned" value="false"/>
                    <property name="idpDiscoveryEnabled" value="false"/>
                    <property name="idpDiscoveryURL" value="http://localhost:8080/portal_report_sg/saml/discovery"/>
                    <property name="idpDiscoveryResponseURL" value="http://localhost:8080/portal_report_sg/saml/login?disco=true"/>
                </bean>
            </constructor-arg>
         </bean>
    </list>
</constructor-arg>
    <property name="hostedSPName" value="http://88.161.49.14/sg1"/>

感谢您的帮助。

Answer 1

SSOCircle上使用的根CA证书昨天发生了变化。这可能表现在工件解析期间，当Spring SAML需要通过HTTPS进行调用时。

从certification authority's website下载证书，将其存储在文件中（例如，采用PEM格式的ca.cer）并导入到Spring SAML的密钥库：

 keytool -importcert -alias identtrustca -file ca.cer -keystore samlKeystore.jks

证书示例：

Spring SAML不使用Java默认密钥库中的可信CA，以便更好地控制哪些证书颁发机构受信任。

SAML错误：不受信任的凭据的PKIX路径构建失败

1 个答案: