Mejoras en la autenticación SAML

Last published : Oct 14, 2026
Esta función requiere conocimientos de SAML, competencia fundamental en autenticación y comprensión de FIPS para utilizar esta información.
Puede utilizar las siguientes funciones de NetScaler con aplicaciones y servidores de terceros que sean compatibles con la especificación SAML 2.0:
  • Proveedor de servicios SAML (SP)
  • Proveedor de identidades SAML (IdP)
SP e IdP permiten un inicio de sesión único (SSO) entre servicios en la nube. La función SAML SP proporciona una forma de abordar las reclamaciones de usuario de un IdP. El IdP puede ser un servicio de terceros u otro dispositivo NetScaler. La función SAML IdP se utiliza para afirmar los inicios de sesión de los usuarios y proporcionar reclamaciones consumidas por los SP.
Como parte del soporte SAML, tanto los módulos IdP como SP firman digitalmente los datos que se envían a los pares. La firma digital incluye una solicitud de autenticación del SP, una aserción del IdP y mensajes de cierre de sesión entre estas dos entidades. La firma digital valida la autenticidad del mensaje.
Las implementaciones actuales de SAML SP e IdP realizan el cálculo de la firma en un motor de paquetes. Estos módulos utilizan certificados SSL para firmar los datos. En un NetScaler compatible con FIPS, la clave privada del certificado SSL no está disponible en el motor de paquetes o en el espacio de usuario, por lo que el módulo SAML hoy en día no está listo para hardware FIPS.
Este documento describe el mecanismo para descargar los cálculos de firma a la tarjeta FIPS. La verificación de la firma se realiza en el software, ya que la clave pública está disponible.
Related information
Configuración de la autenticación SAML

Solución

El conjunto de funciones SAML se ha mejorado para utilizar una API SSL para la descarga de firmas. Consulte la documentación del producto NetScaler® para obtener detalles sobre estas subfunciones SAML afectadas:
  1. Enlace posterior de SAML SP – Firma de AuthnRequest
  2. Enlace posterior de SAML IdP – Firma de Aserción/Respuesta/Ambos
  3. Escenarios de cierre de sesión único de SAML SP – Firma de LogoutRequest en el modelo iniciado por SP y firma de LogoutResponse en el modelo iniciado por IdP
  4. Enlace de artefacto SAML SP – Firma de la solicitud ArtifactResolve
  5. Enlace de redirección de SAML SP – Firma de AuthnRequest
  6. Enlace de redirección de SAML IdP – Firma de respuesta/aserción/ambos
  7. Soporte de cifrado de SAML SP – Descifrado de aserción

Plataforma

La API solo se puede descargar a una plataforma FIPS.

Configuración

La configuración de descarga se realiza automáticamente en la plataforma FIPS.
Sin embargo, dado que las claves privadas SSL no están disponibles para el espacio de usuario en el hardware FIPS, hay un ligero cambio de configuración al crear el certificado SSL en el hardware FIPS.
Aquí está la información de configuración:
  • add ssl fipsKey fips-key
    Cree un CSR y utilícelo en el servidor de CA para generar un certificado. Luego puede copiar ese certificado en /nsconfig/ssl. Supongamos que el archivo es fips3cert.cer.
  • add ssl certKey fips-cert -cert fips3cert.cer -fipsKey fips-key
    Luego, especifique este certificado en la acción SAML para el módulo SAML SP.
  • set samlAction <name> -samlSigningCertName fips-cert
    Del mismo modo, lo utiliza en el samlIdpProfile para el módulo SAML IdP.
  • set samlidpprofile fipstest –samlIdpCertName fips-cert
La clave FIPS no está disponible la primera vez. Si no hay una clave FIPS, cree una como se describe en Crear una clave FIPS.
create ssl fipskey <fipsKeyName> -modulus <positive_integer> [-exponent (3 | F4)]

create certreq <reqFileName> -fipskeyName <string>