SAML 2.0 표준 연동

Question

안녕하세요. 회사에서 프로젝트 중인데 작업 중 궁금하고 모자란 지식에 대해 고수분들께 요청 드립니다. SAML 2.0 표준으로 SSO 인증을 진행하려고 합니다.그런데 구조가 반쪽 구성입니다. 고객사는 포털로 사용하는 서버가 있고 거기에서 로그인을 수행합니다.저희는 고객사 인사정보를 가지고 있으며 인사정보에 등록된 사용자들을 대상으로 정상 사용자이다 아니다를 판단합니다. 그리고 사용자는 SAP 에 접속해야 하는 상황입니다.일단 사용자가 로그인을 하면 저희 서버에 인사정보 인증을 수행하는데 별도의 SLO 서비스를 사용합니다. 이후 저희 서버에서 SAP 서버로 SAML 2.0 방식으로 사용자 정보를 전달해야 합니다. 여기서 궁금한 점은 저희 서버가 인증 서버로서 SAP 서버로 SAML response만 던지면 되는 건지요? 사용자가 인증을 받기 위해 request를 던져야 하는데 이 부분은 SLO로 처리하고 있으니, SAP에 사용자 로그인을 해 주기 위해서 response 만 던지면 되는 걸로 이해가 됩니다. 그렇다면 response xml 을 구성하는데 필요한 정보들에서 id나 InResponseTo나 서명 값들은 어떤 값을 써야 되는지 궁금합니다. SLO 인증 시 주고 받는 값들을 쓰는 건지, SAP 서버와 주고 받는 값을 따로 구성해야 되는 건지도 궁금합니다. 두서 없이 던지는 질문이라 죄송합니다.SAP 서버도 잘 모르고, SAML도 잘 몰라서 맨땅에 개발만 하는 처지라서.. 답변 주시면 고맙겠습니다.

햇개발자 · Answer

SAP쪽에서 SAMLRequest가 없다는 전제 하에서는 SAMLResponse만 던져도 됩니다.(SAML 로그인 흐름에서 IDP-Initialized 흐름이라고 보시면 될 것 같습니다.) 보통 SAMLResponse XML의 ID 값은 랜덤하게 만듭니다. SAML2.0 표준 스펙 상에서는 120 ~ 160bit 사이의 랜덤한 값을 사용하게 권고합니다. InResponseTo의 경우 SAMLRequest를 수신하고 그에 대한 SAMLResponse가 발급되는 경우에 의미가 있는 값이고, 그 때 InResponseTo의 값은 SAMLRequest의 ID가 됩니다. 지금 케이스에서는 SAMLRequest가 존재하지 않으므로 없어도 무방합니다만, SAP 쪽에서 SAMLResponse를 처리할 때 해당 필드의 유효성 검증을 하는지는 제가 모르기 때문에... 이건 확인을 좀 해보셔야 할 것 같습니다. 추가로 고려해야 할 요소는 SAP쪽의 SP Metadata를 받아봐야 알 것 같네요.(Assertion Signing 여부, NameID 포맷, 추가로 필요한 Attribute에 대한 정보, SAMLResponse를 보낼 URL [ACS URL], ACS URL로 SAMLResponse를 전달 할 때의 지원 바인딩 [HTTP-Redirect, HTTP-Post 등]

려원파파 · Answer

네 저도 어렴풋이 그럴 것 같다는 생각은 했었는데, 주신 답변으로 확인이 된 것 같습니다. 제가 고객사에 물어볼 내용들이 주로 SAP의 Metadata이겠네요. 어떻게 처리하고 있는지 확인이 필요한데 SAML 2.0 표준을 따른다고 하면 비슷한 값들이 들어가는 건 아닌지 모르겠습니다. 물론 리다이렉션 값들은 다를 것이고, attiribute 들을 뭘 쓰고 있는지 확인해야 되겠네요. 답변 고맙습니다. 아마도 제가 고객사에 확인하고 나면 필요한 내용들이 더 있을 것 같네요. 그 때도 도움 부탁 드리겠습니다. 감사합니다.

SAML 2.0 표준 연동

2개의 답변

#saml 목록