13.2. SAML クライアントの作成

この URL はすべての SAML 要求に使用され、応答は SP に転送されます。これは、Assertion Consumer Service URL および Single Logout Service URL として使用されます。

ログイン要求に Assertion Consumer Service URL が含まれる場合には、これらのログイン要求が優先されます。この URL は、登録された Valid Redirect URI パターンで妥当性を検証する必要があります。

ON に設定すると、SAML プロトコルメッセージには Red Hat build of Keycloak ネイティブの拡張が含まれます。この拡張には、署名キー ID のヒントが含まれています。SP は、鍵を使用した署名の検証を試みる代わりに、署名検証の拡張を使用します。

このオプションは、署名がクエリーパラメーターで転送され、この情報は署名情報では見つからない REDIRECT バインディングに適用されます。これは、キー ID が常にドキュメント署名に含まれる POST バインディングメッセージとは対照的です。

このオプションは、Red Hat build of Keycloak サーバーとアダプターが IDP および SP を提供する場合に使用されます。このオプションは、Sign Documents がオンの場合にのみ関連します。

POST バインディングを使用して送信される署名付き SAML ドキュメントには、KeyName 要素に署名キーの ID が含まれています。このアクションは、SAML 署名キー名 のオプションを使用して制御できます。このオプションは、Keyname の内容を制御します。

ON の場合、署名を検証するための証明書 (Keys タブで Client signature required オプションが有効になっている場合) とアサーションを暗号化するための証明書 (同じタブの Encrypt assertions) が Metadata descriptor URL から自動的にダウンロードされ、Red Hat build of Keycloak 内にキャッシュされます。署名を検証するために特定の証明書が要求され (通常は POST バインディング内)、それがキャッシュ内に存在しない場合、証明書は URL から自動的に更新されます。すべての証明書で署名の検証が要求された場合 (REDIRECT バインディング)、またはいずれかのキーで暗号化が要求された場合、更新は最大キャッシュ時間の経過後にのみ実行されます。この最大時間は、記述子自体にある cacheDuration 属性や validUntil 属性で指定するか、またはキャッシュプロバイダーが定義します。キャッシュの動作の詳細は、すべてのプロバイダー設定ガイドの public-key-storage spi を参照してください。

オプションが OFF の場合、Keys タブでそれぞれのスイッチをアクティブにすると、キーが生成またはインポートされます。

有効にすると、ユーザーはクライアントアクセスに同意する必要があります。

ブラウザーログインを実行するクライアント側のクライアントの場合。クライアント側のクライアントでシークレットを安全に保つことができないため、正しいリダイレクト URI を設定してアクセスを制限することが重要です。

このスイッチは、Consent Required が Off の場合に適用されます。