Примеры утверждений SAML

Вы находитесь здесь:

Примеры утверждений SAML

Salesforce поддерживает несколько форматов утверждений SAML, отправленных поставщиком удостоверений, с дополнительными требованиями для определенных функций, например, зашифрованные утверждения и своевременная инициализация (JIT). Чтобы помочь поставщику удостоверений определить формат утверждений SAML для использования в организации Salesforce, поделитесь данными примерами.

Требуемые версии

Доступно в версиях: Salesforce Classic и Lightning Experience

Интегрированная проверка подлинности доступна в версиях: Все выпуски

Делегированная проверка подлинности доступна в версиях: Версии Professional Edition, Enterprise Edition, Performance Edition, Unlimited Edition, Developer Edition и Database.com

Поставщики проверки подлинности доступны в версиях: Professional Edition, Enterprise Edition, Performance Edition, Unlimited Edition и Developer Edition

Необходимые полномочия пользователя
Для просмотра параметров:	Просмотр настройки и конфигурации
Для редактирования параметров:	Настройка приложения AND Изменение всех данных

Необходимые полномочия пользователя

Для просмотра параметров:

Просмотр настройки и конфигурации

Для редактирования параметров:

Настройка приложения

AND

Изменение всех данных

Утверждения SAML должны быть подписаны в соответствии со спецификацией XML Signature посредством RSA и SHA-1 или SHA-256.

В дополнение к общим примерам единой регистрации (SSO) используйте эти образцы для определенной функции.

Утверждения для зашифрованного SAML
Утверждения для порталов
Утверждения для сайтов Salesforce
Утверждения для инициализации JIT

Общие примеры единого входа

Тип кода пользователя SAML - это имя пользователя Salesforce, а расположение кода пользователя SAML - это элемент <NameIdentifier> в элементе <Subject>

<saml:Subject>
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">user101@salesforce.com</saml:NameID>
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2008-06-26T02:44:24.173Z" Recipient="http://localhost:9000"/>
    </saml:SubjectConfirmation>
</saml:Subject>

Тип кода пользователя SAML - это имя пользователя Salesforce, а расположение кода пользователя SAML - это элемент <Attribute>

<saml:AttributeStatement>
    <saml:Attribute FriendlyName="fooAttrib" Name="SFDC_USERNAME" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
            user101@salesforce.com
        </saml:AttributeValue>
    </saml:Attribute>
 </saml:AttributeStatement>

Тип кода пользователя SAML - это поле FederationIdentifier объекта Salesforce User, а расположение кода пользователя SAML - это элемент <NameIdentifier> в элементе <Subject>

<saml:Subject>
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">MyName</saml:NameID>
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2008-06-26T02:48:25.730Z" Recipient="http://localhost:9000/"/>
    </saml:SubjectConfirmation>
</saml:Subject>

Примечание Идентификатором имени может быть любая произвольная строка, включая электронные адреса или строки числовых кодов.

Тип кода пользователя SAML - это поле FederationIdentifier объекта пользователя Salesforce, а расположение кода пользователя SAML - это элемент <Attribute>

<saml:AttributeStatement>
    <saml:Attribute FriendlyName="fooAttrib" Name="SFDC_ATTR" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
            user101
        </saml:AttributeValue>
    </saml:Attribute>
</saml:AttributeStatement>

Ниже указан полный ответ SAML:

<samlp:Response ID="_257f9d9e9fa14962c0803903a6ccad931245264310738" 
   IssueInstant="2009-06-17T18:45:10.738Z" Version="2.0">
<saml:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">
   https://www.salesforce.com
</saml:Issuer>

<samlp:Status>
   <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
</samlp:Status>

<saml:Assertion ID="_3c39bc0fe7b13769cab2f6f45eba801b1245264310738" 
   IssueInstant="2009-06-17T18:45:10.738Z" Version="2.0">
   <saml:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">
      https://www.salesforce.com
   </saml:Issuer>

   <saml:Signature>
      <saml:SignedInfo>
         <saml:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
         <saml:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
         <saml:Reference URI="#_3c39bc0fe7b13769cab2f6f45eba801b1245264310738">
            <saml:Transforms>
               <saml:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
               <saml:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                  <ec:InclusiveNamespaces PrefixList="ds saml xs"/>
               </saml:Transform>
            </saml:Transforms>
            <saml:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
            <saml:DigestValue>vzR9Hfp8d16576tEDeq/zhpmLoo=
            </saml:DigestValue>
         </saml:Reference>
      </saml:SignedInfo>
      <saml:SignatureValue>
         AzID5hhJeJlG2llUDvZswNUrlrPtR7S37QYH2W+Un1n8c6kTC
         Xr/lihEKPcA2PZt86eBntFBVDWTRlh/W3yUgGOqQBJMFOVbhK
         M/CbLHbBUVT5TcxIqvsNvIFdjIGNkf1W0SBqRKZOJ6tzxCcLo
         9dXqAyAUkqDpX5+AyltwrdCPNmncUM4dtRPjI05CL1rRaGeyX
         3kkqOL8p0vjm0fazU5tCAJLbYuYgU1LivPSahWNcpvRSlCI4e
         Pn2oiVDyrcc4et12inPMTc2lGIWWWWJyHOPSiXRSkEAIwQVjf
         Qm5cpli44Pv8FCrdGWpEE0yXsPBvDkM9jIzwCYGG2fKaLBag==
      </saml:SignatureValue>
      <saml:KeyInfo>
         <saml:X509Data>
            <saml:X509Certificate>
               MIIEATCCAumgAwIBAgIBBTANBgkqhkiG9w0BAQ0FADCBgzELM
               [Certificate truncated for readability...]
            </saml:X509Certificate>
         </saml:X509Data>
      </saml:KeyInfo>
   </saml:Signature>

   <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">
         saml01@salesforce.com
      </saml:NameID>

      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml:SubjectConfirmationData NotOnOrAfter="2009-06-17T18:50:10.738Z" 
         Recipient="https://login.salesforce.com"/>
      </saml:SubjectConfirmation>
   </saml:Subject>

   <saml:Conditions NotBefore="2009-06-17T18:45:10.738Z" 
      NotOnOrAfter="2009-06-17T18:50:10.738Z">

      <saml:AudienceRestriction>
         <saml:Audience>https://saml.salesforce.com</saml:Audience>
      </saml:AudienceRestriction>
   </saml:Conditions>

   <saml:AuthnStatement AuthnInstant="2009-06-17T18:45:10.738Z">
      <saml:AuthnContext>
         <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
         </saml:AuthnContextClassRef>
      </saml:AuthnContext>
   </saml:AuthnStatement>

   <saml:AttributeStatement>

      <saml:Attribute Name="portal_id">
         <saml:AttributeValue xsi:type="xs:anyType">060D00000000SHZ
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="organization_id">
         <saml:AttributeValue xsi:type="xs:anyType">00DD0000000F7L5
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="ssostartpage" 
         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">

         <saml:AttributeValue xsi:type="xs:anyType">
            http://www.salesforce.com/security/saml/saml20-gen.jsp
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="logouturl" 
         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">

         <saml:AttributeValue xsi:type="xs:string">
            http://www.salesforce.com/security/del_auth/SsoLogoutPage.html
         </saml:AttributeValue>
      </saml:Attribute>
   </saml:AttributeStatement>
</saml:Assertion>
</samlp:Response>

Примеры утверждений для зашифрованного SAML

Эти примеры используются при настройке организации на расшифровку зашифрованных утверждений SAML от поставщика удостоверений.

Ожидаемый тег для зашифрованного утверждения - <EncryptedAssertion>.

Если вы настраиваете зашифрованные утверждения, ваш поставщик удостоверений должен зашифровать все утверждение. Однако Salesforce поддерживает только один уровень шифрования. Например, невозможно зашифровать <NameID> в <EncryptedID>, а потом зашифровать все утверждение.

Ниже указан пример зашифрованного утверждения SAML с <EncryptedKey> за пределами <EncryptedData>.

<saml:EncryptedAssertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"> 
   <xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Id="Encrypted_DATA_ID"   Type="http://www.w3.org/2001/04/xmlenc#Element">   
      <xenc:EncryptionMethod   Algorithm="http://www.w3.org/2001/04/xmlenc#aes128-cbc"/>
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
         <ds:RetrievalMethod URI="#Encrypted_KEY_ID" Type="http://www.w3.org/2001/04/xmlenc#EncryptedKey"/>
      </ds:KeyInfo>
      <xenc:CipherData >   
         <xenc:CipherValue>Nk4W4mx...</xenc:CipherValue>   
      </xenc:CipherData>
   </xenc:EncryptedData>   
   <xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Id="Encrypted_KEY_ID">   
      <xenc:EncryptionMethod   Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
      <xenc:CipherData>   
         <xenc:CipherValue>PzA5X...</xenc:CipherValue>   
      </xenc:CipherData>   
      <xenc:ReferenceList>
         <xenc:DataReference URI="#Encrypted_DATA_ID"/>
      </xenc:ReferenceList>   
   </xenc:EncryptedKey>   
</saml:EncryptedAssertion>

Ниже указан пример зашифрованного утверждения SAML с <EncryptedKey> внутри <EncryptedData>.

<xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Type="http://www.w3.org/2001/04/xmlenc#Element">
   <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc" />
  <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
   <xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
    <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
    <xenc:CipherData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
     <xenc:CipherValue>HWm..</xenc:CipherValue>
    </xenc:CipherData>
   </xenc:EncryptedKey>
   …
 </xenc:EncryptedData>

Пример утверждения SAML для сайтов Experience Cloud

Ниже указан пример утверждения SAML для сайта Experience Cloud.

<?xml version="1.0" encoding="UTF-8"?>
<saml2p:Response xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:xs="http://www.w3.org/2001/XMLSchema" Destination="https://<mydomainvalue>.my.site.com/login" ID="_6aaedcfc-110ed330" IssueInstant="2023-05-16T21:53:41.040Z" Version="2.0">
    <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">IssuerValue</saml2:Issuer>
    <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        Signature omitted for brevity
    </ds:Signature>
    <saml2p:Status>
        <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
    </saml2p:Status>
    <saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_187bec3f-3542a4eb" IssueInstant="2023-05-16T21:53:41.040Z" Version="2.0">
        <saml2:Issuer>IssuerValue</saml2:Issuer>
        <saml2:Subject>
            <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">user@example.com</saml2:NameID>
            <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
                <saml2:SubjectConfirmationData NotOnOrAfter="2023-05-16T21:54:41.040Z" Recipient="https://<mydomainvalue>.my.site.com/login"/>
            </saml2:SubjectConfirmation>
        </saml2:Subject>
        <saml2:Conditions NotBefore="2023-05-16T21:53:41.040Z" NotOnOrAfter="2023-05-16T21:54:41.040Z">
            <saml2:AudienceRestriction>
                <saml2:Audience>EntityIDValue</saml2:Audience>
            </saml2:AudienceRestriction>
        </saml2:Conditions>
        <saml2:AuthnStatement AuthnInstant="2023-05-16T21:53:41.040Z">
            <saml2:AuthnContext>
                <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</saml2:AuthnContextClassRef>
            </saml2:AuthnContext>
        </saml2:AuthnStatement>
    </saml2:Assertion>
</saml2p:Response>