Exempel på SAML-kontroller

Du är här:

Exempel på SAML-kontroller

Salesforce stöder flera SAML-kontrollformat som skickas av din identitetsleverantör, med extra krav på specifika funktioner som krypterade påståenden och JIT-provisionering (precis-i-tid-anskaffande). Dela dessa exempel för att hjälpa din identitetsleverantör att bestämma formatet för SAML-kontroller som ska användas med din Salesforce-organisation.

Versioner som krävs

Tillgängliga i: både Salesforce Classic och Lightning Experience

Sammanslagen autentisering är tillgänglig i: Alla versioner

Delegerad autentisering är tillgänglig i: Utgåvor Professional, Enterprise, Performance, Unlimited, Developer och Database.com

Autentiseringsleverantörer är tillgängliga i: Utgåvorna Professional, Enterprise, Performance, Unlimited och Developer

Användarbehörigheter som krävs för att
Visa inställningarna:	Visa inställningar och konfigurering
Redigera inställningarna:	Anpassa program OCH Ändra all data

Användarbehörigheter som krävs för att

Visa inställningarna:

Visa inställningar och konfigurering

Redigera inställningarna:

Anpassa program

OCH

Ändra all data

SAML-kontroller måste signeras enligt XML-signaturspecifikationen med RSA och antingen SHA-1 eller SHA-256.

Tillsammans med de allmänna exemplen för enkel inloggning (SSO) kan du använda dessa exempel för den specifika funktionen.

Kontroller för krypterad SAML
Kontroller för portaler
Kontroller för Salesforce-webbplatser
Kontroller för JIT-provisionering

Allmänna SSO-exempel

Typ av SAML-användar-ID är Salesforce-användarnamnet och Plats för SAML-användar-ID är <NameIdentifier> i <Subject>

<saml:Subject>
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">user101@salesforce.com</saml:NameID>
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2008-06-26T02:44:24.173Z" Recipient="http://localhost:9000"/>
    </saml:SubjectConfirmation>
</saml:Subject>

Typ av SAML-användar-ID är Salesforce-användarnamnet och Plats för SAML-användar-ID är <Attribute>

<saml:AttributeStatement>
    <saml:Attribute FriendlyName="fooAttrib" Name="SFDC_USERNAME" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
            user101@salesforce.com
        </saml:AttributeValue>
    </saml:Attribute>
 </saml:AttributeStatement>

Typ av SAML-användar-ID är Salesforce-användarobjektets fält FederationIdentifier och Plats för SAML-användar-ID är <NameIdentifier> i <Subject>

<saml:Subject>
    <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">MyName</saml:NameID>
    <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2008-06-26T02:48:25.730Z" Recipient="http://localhost:9000/"/>
    </saml:SubjectConfirmation>
</saml:Subject>

Anteckning Namn-ID:t kan vara en valfri allmän sträng, inklusive e-postadresser och numeriska ID-strängar.

Typ av SAML-användar-ID är Salesforce-användarobjektets fält FederationIdentifier och Plats för SAML-användar-ID är <Attribute>

<saml:AttributeStatement>
    <saml:Attribute FriendlyName="fooAttrib" Name="SFDC_ATTR" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
        <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
            user101
        </saml:AttributeValue>
    </saml:Attribute>
</saml:AttributeStatement>

Typ av SAML-användar-ID är Salesforce-användarnamnet och Plats för SAML-användar-ID är <NameIdentifier> i <Subject>

Här är ett fullständigt SAML-svar:

<samlp:Response ID="_257f9d9e9fa14962c0803903a6ccad931245264310738" 
   IssueInstant="2009-06-17T18:45:10.738Z" Version="2.0">
<saml:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">
   https://www.salesforce.com
</saml:Issuer>

<samlp:Status>
   <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
</samlp:Status>

<saml:Assertion ID="_3c39bc0fe7b13769cab2f6f45eba801b1245264310738" 
   IssueInstant="2009-06-17T18:45:10.738Z" Version="2.0">
   <saml:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">
      https://www.salesforce.com
   </saml:Issuer>

   <saml:Signature>
      <saml:SignedInfo>
         <saml:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
         <saml:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
         <saml:Reference URI="#_3c39bc0fe7b13769cab2f6f45eba801b1245264310738">
            <saml:Transforms>
               <saml:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
               <saml:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                  <ec:InclusiveNamespaces PrefixList="ds saml xs"/>
               </saml:Transform>
            </saml:Transforms>
            <saml:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
            <saml:DigestValue>vzR9Hfp8d16576tEDeq/zhpmLoo=
            </saml:DigestValue>
         </saml:Reference>
      </saml:SignedInfo>
      <saml:SignatureValue>
         AzID5hhJeJlG2llUDvZswNUrlrPtR7S37QYH2W+Un1n8c6kTC
         Xr/lihEKPcA2PZt86eBntFBVDWTRlh/W3yUgGOqQBJMFOVbhK
         M/CbLHbBUVT5TcxIqvsNvIFdjIGNkf1W0SBqRKZOJ6tzxCcLo
         9dXqAyAUkqDpX5+AyltwrdCPNmncUM4dtRPjI05CL1rRaGeyX
         3kkqOL8p0vjm0fazU5tCAJLbYuYgU1LivPSahWNcpvRSlCI4e
         Pn2oiVDyrcc4et12inPMTc2lGIWWWWJyHOPSiXRSkEAIwQVjf
         Qm5cpli44Pv8FCrdGWpEE0yXsPBvDkM9jIzwCYGG2fKaLBag==
      </saml:SignatureValue>
      <saml:KeyInfo>
         <saml:X509Data>
            <saml:X509Certificate>
               MIIEATCCAumgAwIBAgIBBTANBgkqhkiG9w0BAQ0FADCBgzELM
               [Certificate truncated for readability...]
            </saml:X509Certificate>
         </saml:X509Data>
      </saml:KeyInfo>
   </saml:Signature>

   <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">
         saml01@salesforce.com
      </saml:NameID>

      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml:SubjectConfirmationData NotOnOrAfter="2009-06-17T18:50:10.738Z" 
         Recipient="https://login.salesforce.com"/>
      </saml:SubjectConfirmation>
   </saml:Subject>

   <saml:Conditions NotBefore="2009-06-17T18:45:10.738Z" 
      NotOnOrAfter="2009-06-17T18:50:10.738Z">

      <saml:AudienceRestriction>
         <saml:Audience>https://saml.salesforce.com</saml:Audience>
      </saml:AudienceRestriction>
   </saml:Conditions>

   <saml:AuthnStatement AuthnInstant="2009-06-17T18:45:10.738Z">
      <saml:AuthnContext>
         <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
         </saml:AuthnContextClassRef>
      </saml:AuthnContext>
   </saml:AuthnStatement>

   <saml:AttributeStatement>

      <saml:Attribute Name="portal_id">
         <saml:AttributeValue xsi:type="xs:anyType">060D00000000SHZ
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="organization_id">
         <saml:AttributeValue xsi:type="xs:anyType">00DD0000000F7L5
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="ssostartpage" 
         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">

         <saml:AttributeValue xsi:type="xs:anyType">
            http://www.salesforce.com/security/saml/saml20-gen.jsp
         </saml:AttributeValue>
      </saml:Attribute>

      <saml:Attribute Name="logouturl" 
         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">

         <saml:AttributeValue xsi:type="xs:string">
            http://www.salesforce.com/security/del_auth/SsoLogoutPage.html
         </saml:AttributeValue>
      </saml:Attribute>
   </saml:AttributeStatement>
</saml:Assertion>
</samlp:Response>

Exempel på kontroller för krypterad SAML

Dessa exempel är användbara om du ställer in din organisation för att avkryptera krypterade SAML-kontroller från din identitetsleverantör.

Den förväntade taggen för en krypterad kontroll är <EncryptedAssertion>.

Om du ställer in krypterade kontroller måste din identitetsleverantör kryptera hela kontrollen. Salesforce stöder dock bara ett lager av kryptering. Du kan till exempel inte kryptera <NameID> till <EncryptedID> och sedan kryptera hela kontrollen.

Här är ett exempel på en krypterad SAML-kontroll med <EncryptedKey> utanför <EncryptedData>.

<saml:EncryptedAssertion xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"> 
   <xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Id="Encrypted_DATA_ID"   Type="http://www.w3.org/2001/04/xmlenc#Element">   
      <xenc:EncryptionMethod   Algorithm="http://www.w3.org/2001/04/xmlenc#aes128-cbc"/>
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
         <ds:RetrievalMethod URI="#Encrypted_KEY_ID" Type="http://www.w3.org/2001/04/xmlenc#EncryptedKey"/>
      </ds:KeyInfo>
      <xenc:CipherData >   
         <xenc:CipherValue>Nk4W4mx...</xenc:CipherValue>   
      </xenc:CipherData>
   </xenc:EncryptedData>   
   <xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Id="Encrypted_KEY_ID">   
      <xenc:EncryptionMethod   Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
      <xenc:CipherData>   
         <xenc:CipherValue>PzA5X...</xenc:CipherValue>   
      </xenc:CipherData>   
      <xenc:ReferenceList>
         <xenc:DataReference URI="#Encrypted_DATA_ID"/>
      </xenc:ReferenceList>   
   </xenc:EncryptedKey>   
</saml:EncryptedAssertion>

Här är ett exempel på en krypterad SAML-kontroll med <EncryptedKey> inuti <EncryptedData>.

<xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Type="http://www.w3.org/2001/04/xmlenc#Element">
   <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc" />
  <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
   <xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
    <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
    <xenc:CipherData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
     <xenc:CipherValue>HWm..</xenc:CipherValue>
    </xenc:CipherData>
   </xenc:EncryptedKey>
   …
 </xenc:EncryptedData>

Exempel på SAML-kontroll för Experience Cloud-webbplatser

Här är ett exempel på SAML-kontroll för en Experience Cloud-webbplats.

<?xml version="1.0" encoding="UTF-8"?>
<saml2p:Response xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:xs="http://www.w3.org/2001/XMLSchema" Destination="https://<mydomainvalue>.my.site.com/login" ID="_6aaedcfc-110ed330" IssueInstant="2023-05-16T21:53:41.040Z" Version="2.0">
    <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">IssuerValue</saml2:Issuer>
    <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        Signature omitted for brevity
    </ds:Signature>
    <saml2p:Status>
        <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
    </saml2p:Status>
    <saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_187bec3f-3542a4eb" IssueInstant="2023-05-16T21:53:41.040Z" Version="2.0">
        <saml2:Issuer>IssuerValue</saml2:Issuer>
        <saml2:Subject>
            <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">user@example.com</saml2:NameID>
            <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
                <saml2:SubjectConfirmationData NotOnOrAfter="2023-05-16T21:54:41.040Z" Recipient="https://<mydomainvalue>.my.site.com/login"/>
            </saml2:SubjectConfirmation>
        </saml2:Subject>
        <saml2:Conditions NotBefore="2023-05-16T21:53:41.040Z" NotOnOrAfter="2023-05-16T21:54:41.040Z">
            <saml2:AudienceRestriction>
                <saml2:Audience>EntityIDValue</saml2:Audience>
            </saml2:AudienceRestriction>
        </saml2:Conditions>
        <saml2:AuthnStatement AuthnInstant="2023-05-16T21:53:41.040Z">
            <saml2:AuthnContext>
                <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</saml2:AuthnContextClassRef>
            </saml2:AuthnContext>
        </saml2:AuthnStatement>
    </saml2:Assertion>
</saml2p:Response>