安装并且配置口令身份供应商(IdP) Cisco身份服务的(ID)对enable (event) SSO

允许自所有客户端的请求

要保证自所有客户端的请求到达，需要变化在“$shibboleth_home/conf/access-control.xml上” 

<entry key= " AccessByIPAddress " >
<bean id= " AccessByIPAddress” parent= " shibboleth.IPRangeAccessControl”
p ：allowedRanges= " # {{'127.0.0.1/32'、'0.0.0.0/0'、'::1/128'， '10.78.93.103/32'}}”/>
</entry>

添加'0.0.0.0/0'到允许的范围。这允许自所有ip范围的请求。

配置口令集成ID

安全散列算法(SHA1)和在ID的加密配置

配置ID默认为SHA1、开放“$shibboleth_home/conf/idp.properties”和集：

idp.signing.config = shibboleth.SigningConfiguration.SHA1 

可能也更改此配置：

idp.encryption.optional =真

如果设置它对真，疏忽找出加密密钥使用，当启用，不会导致请求故障。即，这帮助执行加密“机会主义”加密若情况许可(一个兼容的键在对等体的元数据被找到加密与)，但是否则跳过加密。 

配置uid和user_principal对SAML回应

AttributeDefinition在“$shibboleth_home/conf/attribute-resolver.xml”被添加映射sAMAccountName和userPrincipalName到到uid和user_principal在SAML回应。

另外，请添加与标记<DataConnector>的ldap连接器设置。

Note: ReturnAttributes需要用值“sAMAccountName userPrincipalName”指定。

Note: 如果有与激活目录(AD)的集成LDAPProperty是必须的，万一。

<AttributeDefinition xsi:type="Simple" id="ciscoUPN" sourceAttributeID="userPrincipalName">
 <Dependency ref="LDAP" />
 <AttributeEncoder xsi:type="SAML1String" name="user_principal" />
 <AttributeEncoder xsi:type="SAML2String" name="user_principal" friendlyName="user_principal" />
</AttributeDefinition>
 
<AttributeDefinition xsi:type="Simple" id="ciscoUID" sourceAttributeID="sAMAccountName">
 <Dependency ref="LDAP" />
 <AttributeEncoder xsi:type="SAML1String" name="uid" />
 <AttributeEncoder xsi:type="SAML2String" name="uid" friendlyName="uid" />
</AttributeDefinition>
 
    <DataConnector id="LDAP" xsi:type="LDAPDirectory"
     ldapURL="ldap://adfsserver.cisco.com"
     baseDN="CN=users,DC=cisco,DC=com"
     principal="administrator@cisco.com"
     principalCredential="<cred>">
        <FilterTemplate>
            <![CDATA[
                %{idp.attribute.resolver.LDAP.searchFilter}
            ]]>
        </FilterTemplate>
      <ReturnAttributes>sAMAccountName userPrincipalName</ReturnAttributes>
      <LDAPProperty name="java.naming.referral" value="follow"/>
    </DataConnector>

合并在“$shibboleth_home/conf/attribute-filter.xml上的”变化

<PolicyRequirementRule xsi:type="ANY" />
 
 
        <AttributeRule attributeID="ciscoUID">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
 
        <AttributeRule attributeID="ciscoUPN">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>

<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
        p:format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"   
        p:attributeSourceIds="#{ {'ciscoUPN'} }" />
<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
        p:format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"   
        p:attributeSourceIds="#{ {'ciscoUID'} }" />

IdP元数据

IdP元数据是可用的在文件夹“$shibboleth_home/metadata”。idp-metadata.xml文件可以被加载到ID通过Application Programming Interface (API)

PUT https://<idshost>:<idsport>/ids/v1/config/idpmetadata

那里idsport不一个可配置实体和值是"8553"

警告：口令元数据能包含2签署的证书、一般签署的认证和backchannel。连接对在“$shibboleth_home/credentials的”文件idp-backchannel.crt识别backchannel认证。 如果反向信道认证是可用的在元数据，您应该从元数据xml删除反向信道认证在加载前到ID。这是因为ID在元数据使用技术支持仅一certifcate的fedlet 12.0库。如果超过一个签署的认证是可用的， fedlet使用第一个可用的认证。 

配置元数据供应商

我们需要用在$shibboleth_home/metadata-providers.xml的条目配置元数据供应商。

<MetadataProvider id="smart-86"  xsi:type="FilesystemMetadataProvider" metadataFile="/opt/shibboleth-idp/SP/sp.xml"/>

那里" id "属性可以是所有唯一名字。

此条目表明元数据供应商向特定id登记，并且元数据是可用的在指定的文件/opt/shibboleth-idp/SP/sp.xml。

必须复制ID服务提供商(SP)元数据到在条目指定的metadataFile。

Note: ID SP元数据可以通过GET https://<idshost>:<idsport>/ids/v1/config/spmetadata被检索， idsport不是一个可配置实体，并且值是"8553"。