Verbesserungen bei der SAML-Authentifizierung

Last published : Oct 14, 2026
Diese Funktion erfordert SAML-Kenntnisse, grundlegende Authentifizierungsfähigkeiten und FIPS-Verständnis, um diese Informationen nutzen zu können.
Sie können die folgenden NetScaler-Funktionen mit Anwendungen und Servern von Drittanbietern verwenden, die mit der SAML 2.0-Spezifikation kompatibel sind:
  • SAML Service Provider (SP)
  • SAML Identity Provider (IdP)
SP und IdP ermöglichen ein Single Sign-On (SSO) zwischen Cloud-Diensten. Die SAML SP-Funktion bietet eine Möglichkeit, Benutzeransprüche von einem IdP zu adressieren. Der IdP kann ein Drittanbieterdienst oder eine andere NetScaler-Appliance sein. Die SAML IdP-Funktion wird verwendet, um Benutzeranmeldungen zu bestätigen und Ansprüche bereitzustellen, die von SPs genutzt werden.
Als Teil der SAML-Unterstützung signieren sowohl IdP- als auch SP-Module die an Peers gesendeten Daten digital. Die digitale Signatur umfasst eine Authentifizierungsanforderung vom SP, eine Assertion vom IdP und Abmelde-Nachrichten zwischen diesen beiden Entitäten. Die digitale Signatur validiert die Authentizität der Nachricht.
Die aktuellen Implementierungen von SAML SP und IdP führen die Signaturberechnung in einer Paket-Engine durch. Diese Module verwenden SSL-Zertifikate, um die Daten zu signieren. In einem FIPS-konformen NetScaler ist der private Schlüssel des SSL-Zertifikats nicht in der Paket-Engine oder im Benutzerbereich verfügbar, sodass das SAML-Modul heute nicht für FIPS-Hardware bereit ist.
Dieses Dokument beschreibt den Mechanismus zur Auslagerung von Signaturberechnungen auf die FIPS-Karte. Die Signaturprüfung erfolgt in der Software, da der öffentliche Schlüssel verfügbar ist.
Related information
SAML-Authentifizierung konfigurieren

Lösung

Der SAML-Funktionsumfang wurde erweitert, um eine SSL-API für die Signatur-Auslagerung zu verwenden. Weitere Informationen zu diesen betroffenen SAML-Unterfunktionen finden Sie in der NetScaler® Produktdokumentation:
  1. SAML SP Post Binding – Signieren von AuthnRequest
  2. SAML IdP Post Binding – Signieren von Assertion/Response/Beidem
  3. SAML SP Single Logout-Szenarien – Signieren von LogoutRequest im SP-initiierten Modell und Signieren von LogoutResponse im IdP-initiierten Modell
  4. SAML SP Artifact Binding – Signieren der ArtifactResolve-Anforderung
  5. SAML SP Redirect Binding – Signierung von AuthnRequest
  6. SAML IdP Redirect Binding – Signierung von Response/Assertion/Beidem
  7. SAML SP Verschlüsselungsunterstützung – Entschlüsselung der Assertion

Plattform

Die API kann nur auf eine FIPS-Plattform ausgelagert werden.

Konfiguration

Die Auslagerungskonfiguration wird automatisch auf der FIPS-Plattform durchgeführt.
Da jedoch SSL-Privatschlüssel im FIPS-Hardware-Benutzerbereich nicht verfügbar sind, gibt es eine geringfügige Konfigurationsänderung bei der Erstellung des SSL-Zertifikats auf FIPS-Hardware.
Hier sind die Konfigurationsinformationen:
  • add ssl fipsKey fips-key
    Erstellen Sie eine CSR und verwenden Sie diese auf dem CA-Server, um ein Zertifikat zu generieren. Sie können dieses Zertifikat dann in /nsconfig/ssl kopieren. Nehmen wir an, die Datei ist fips3cert.cer.
  • add ssl certKey fips-cert -cert fips3cert.cer -fipsKey fips-key
    Geben Sie dieses Zertifikat dann in der SAML-Aktion für das SAML SP-Modul an.
  • set samlAction <name> -samlSigningCertName fips-cert
    Ebenso verwenden Sie dies in samlIdpProfile für das SAML IdP-Modul.
  • set samlidpprofile fipstest –samlIdpCertName fips-cert
Der FIPS-Schlüssel ist beim ersten Mal nicht verfügbar. Wenn kein FIPS-Schlüssel vorhanden ist, erstellen Sie einen wie beschrieben Erstellen eines FIPS-Schlüssels.
create ssl fipskey <fipsKeyName> -modulus <positive_integer> [-exponent (3 | F4)]

create certreq <reqFileName> -fipskeyName <string>