SAML v2 での SSO の設定方法

エンティティーは、アサーションの作成および受け渡しに関与するすべての当事者です。SAML には、サブジェクト、ID プロバイダー、および サービスプロバイダー の 3 つの異なるエンティティーの概念があります。

subject は principal とも呼ばれ、SAML によってセキュア化された service provider のリソースへのアクセスを要求します。

service provider (SP) には、ID プロバイダー から必要な subject のアイデンティティーのアサーションとして検証が必要です。

アイデンティープロバイダー (IDP) は、サービスプロバイダー による認証および承認の決定に使用できる、subject に関するトークンの形式で、アサーションのセットを提供します。

つまり subject は発行されたアサーションを取得し 、アイデンティープロバイダー はこれらのアサーションを発行して、サービスプロバイダー はこれらのアサーションを使用して subject を認証および承認します。

セキュリティーアサーションは、サブジェクトに関するアイデンティティープロバイダーが発行する一連のステートメントです。サービスプロバイダーはこれらのアサーションを使用して、サブジェクトに関するアクセス制御の決定を行います。ステートメントは以下の形式を取ることができます。

例:

このユーザーは、ユーザー名とパスワードを使用して 9:30 に Sarah としてログインしました。Sarah はマネージャーグループのメンバーです。Sarah は、従業員情報リソースへのアクセスを許可されています。

アサーションは SAML トークンとしてパケージ化され、SAML プロトコルを使用してトランスポートされます。

SAML プロトコルは、通常リクエストと応答の形式でアサーションがパッケージ化される方法と、これを処理する正しい方法のルールを記述します。これらのルールの後に、リクエストと応答のプロデューサーとコンシューマーの両方を追加する必要があります。リクエストは、認証、属性、または承認の決定について、特定の既知のアサーションまたはクエリーアイデンティティープロバイダーを要求することができます。セキュリティーアサーションを含むリクエストおよび応答メッセージは XML でフォーマットされ、指定されたスキーマに従います。

SAML バインディングは、SAML プロトコルをトランスポートおよびメッセージングに使用される他の標準プロトコルにマップする方法を指定します。例には以下が含まれます。

SAML プロファイルは、アサーション、プロトコル、バインディングを使用して、Web Browser SSO、Single Logout、および Assertion Query などの特定のユースケースに対応します。

IDP はクレデンシャルのプリンシパル処理、そのプリンシパルの認証および承認処理のほかに、その結果に基づいて適切な SAML v2 セキュリティーアサーションを発行します。これには、セキュリティードメインでアイデンティティーストアを設定する必要があります。このセキュリティードメインおよびアイデンティティーストアを作成する唯一の要件は、認証および承認メカニズムが適切に定義されていることです。つまり、本質的に多くの異なる ID ストア (プロパティーファイル、データベース、LDAP など) とそれに関連するログインモジュールを使用して、IDP アプリケーションをサポートできます。セキュリティーマッピングの詳細は、Red Hat JBoss Enterprise Application Platform 6 Security Architecture のセキュリティードメインのセクションを参照してください。

以下の例では、アイデンティティーストアのプロパティーファイルを使用する簡単な UsersRoles ログインモジュールが使用されます。

/subsystem=security/security-domain=idp:add(cache-type=default)

/subsystem=security/security-domain=idp/authentication=classic:add

/subsystem=security/security-domain=idp/authentication=classic/login-module=UsersRoles:add( \
  code=UsersRoles, \
  flag=required, \
  module-options=[ \
    ("usersProperties"=>"idp-users.properties"), \
    ("rolesProperties"=>"idp-roles.properties") \
  ])

reload

<security-domain name="idp" cache-type="default">
  <authentication>
    <login-module code="UsersRoles" flag="required">
      <module-option name="usersProperties" value="${jboss.server.config.dir}/idp-users.properties"/>
      <module-option name="rolesProperties" value="${jboss.server.config.dir}/idp-roles.properties"/>
    </login-module>
  </authentication>
</security-domain>

idp-users.properties

Eric=samplePass
Alan=samplePass

idp-roles.properties

Eric=All
Alan=

IDP の web.xml ファイルには以下が含まれている必要があります。

<security-constraint> および <security-role> 要素を使用すると、管理者は URL パターンおよびロールを基に制限された領域または無制限の領域をセットアップできます。これにより、リソースをセキュリティーで保護することができ、保護しないこともできます。

<login-config> は、ユーザーの認証時に IDP が使用するログインおよびエラーページを定義します。

<web-app>
  <display-name>IDP</display-name>
  <description>IDP</description>
<!-- Define a security constraint that gives unlimited access to images -->
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>Images</web-resource-name>
      <url-pattern>/images/*</url-pattern>
    </web-resource-collection>
  </security-constraint>
<!-- Define a security constraint that requires the All role to access resources -->
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>IDP</web-resource-name>
      <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
      <role-name>All</role-name>
    </auth-constraint>
  </security-constraint>
<!-- Define the Login Configuration for this Application -->
  <login-config>
    <auth-method>FORM</auth-method>
    <realm-name>IDP Application</realm-name>
    <form-login-config>
      <form-login-page>/jsp/login.jsp</form-login-page>
      <form-error-page>/jsp/error.jsp</form-error-page>
    </form-login-config>
  </login-config>
<!-- Security roles referenced by this web application -->
  <security-role>
    <description>The role that is required to log in to the IDP Application</description>
    <role-name>All</role-name>
  </security-role>
</web-app>

<html>
<head></head>
<body>
  <form id="login_form" name="login_form" method="post"
  action="j_security_check" enctype="application/x-www-form-urlencoded">
    <center>
      <p>Welcome to the <b>IDP</b></p>
      <p>Please login to proceed.</p>
    </center>
    <div style="margin-left: 15px;">
      <p>
        <label for="username">Username</label>
        <br />
        <input id="username" type="text" name="j_username"/>
      </p>
      <p>
        <label for="password">Password</label>
        <br />
        <input id="password" type="password" name="j_password" value=""/>
      </p>
      <center>
        <input id="submit" type="submit" name="submit" value="Login"/>
      </center>
    </div>
  </form>
</body>
</html>

<html>
<head></head>
<body>
  <p>Login failed, please go back and try again.</p>
</body>
</html>

この認証システムは、ユーザーの認証と SAML v2 セキュリティーアサーションを発行および検証します。オーセンティケーターは、プリンシパルの認証と承認に使用されるセキュリティードメインとともに jboss-web.xml ファイルに存在する <valve> の形式で設定されます (ステップ 1 を参照)。

jboss-web.xml ファイルには、認証と承認に使用するセキュリティードメインを指定する <security-domain>、SSO バルブクラスを使用するように設定された <valve> (例: org.picketlink.identity.federation.bindings.tomcat.idp.IDPWebBrowserSSOValve) を含める必要があります。

<jboss-web>
    <security-domain>idp</security-domain>
    <context-root>identity</context-root>
    <valve>
        <class-name>
        org.picketlink.identity.federation.bindings.tomcat.idp.IDPWebBrowserSSOValve
        </class-name>
    </valve>
</jboss-web>

IDP として機能する web アプリケーションは、org.picketlink クラスを見つけることができるように依存関係を jboss-deployment-structure.xml に定義する必要があります。JBoss EAP 6 は必要なすべての org.picketlink と関連クラスを提供するため、アプリケーションはこれらの依存関係を宣言して使用することのみが必要となります。

<jboss-deployment-structure>
  <deployment>
    <dependencies>
      <module name="org.picketlink"/>
    </dependencies>
  </deployment>
</jboss-deployment-structure>

この代わりに、依存関係を META-INF/MANIFEST.MF ファイルに定義することもできます。

Manifest-Version: 1.0
Build-Jdk: 1.6.0_24
Dependencies: org.picketlink

picketlink.xml ファイルは authenticator の動作を管理し、アプリケーションの起動時にロードされます。

ファイルには、少なくとも次の要素が含まれている必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1">
    <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
    <Trust>
      <Domains>localhost,example.com</Domains>
    </Trust>
  </PicketLinkIDP>
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
  </Handlers>
</PicketLink>

デフォルトでは、picketlink.xml は IDP web アプリケーションの WEB-INF ディレクトリーにあります。ただし、アプリケーション外の picketlink.xml へのカスタムパスを設定できます。これは、複数の JBoss EAP 6 インスタンス間で複数のアプリケーションが同じ picketlink.xml 設定を共有している場合に便利です。

<jboss-web>
...
<valve>
  <class-name>...</class-name>
    <param>
      <param-name>timerInterval</param-name>
      <param-value>5000</param-value>
    </param>
    <param>
      <param-name>configFile</param-name>
      <param-value>path-to/picketlink.xml</param-value>
    </param>
</valve>
</jboss-web>

IDP はユーザーのクレデンシャルを処理し、セキュリティー (SAML v2) アサーションを発行するため、SP はこれらのアサーションを検証する役割を担います。この検証を実行するにはセキュリティードメインが必要になりますが、アイデンティティーストアは必要ありません。この場合、SP のセキュリティードメインは SAML2LoginModule を使用する必要があります。

/subsystem=security/security-domain=sp:add(cache-type=default)

/subsystem=security/security-domain=sp/authentication=classic:add

/subsystem=security/security-domain=sp/authentication=classic/login-module=SAML2LoginModule:add( \
  code=org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule, \
  flag=required)

reload

<security-domain name="sp" cache-type="default">
  <authentication>
    <login-module code="org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule"
      flag="required"/>
   </authentication>
</security-domain>

SAML2LoginModule を使用すると、認証の決定を IDP に先送りできます。これは、SP の picketlink.xml で設定されます。

STS の web.xml ファイルには以下が含まれている必要があります。

<web-app>
  <display-name>SP</display-name>
  <description>SP</description>
  <!-- Define a Security Constraint on this Application -->
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>SP</web-resource-name>
      <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
      <role-name>All</role-name>
    </auth-constraint>
  </security-constraint>
  <!-- Security roles referenced by this web application -->
  <security-role>
      <description>
     The role that is required to log in to the SP Application
    </description>
    <role-name>All</role-name>
  </security-role>

オーセンティケーターは、セキュリティーアサーション (この場合は SAML v2 アサーション) に基づいてプリンシパルの認証を行います.この場合、IDP によって発行されます。アプリケーションに追加された各リクエストをインターセプトし、SAML アサーションがリクエストに存在するかどうかを確認し、アサーションを検証し、プリンシパルの SAML 固有の検証を実行し、要求されたアプリケーションでプリンシパルのセキュリティーコンテキストを作成します。

オーセンティケーターは、プリンシパルの認証と承認に使用されるセキュリティードメインとともに jboss-web.xml ファイルに存在する <valve> の形式で設定されます (ステップ 1 を参照)。

SP の jboss-web.xml ファイルには以下が必要です。

<jboss-web>
  <security-domain>sp</security-domain>
  <context-root>sales-post</context-root>
  <valve>
    <class-name>org.picketlink.identity.federation.bindings.tomcat.sp.ServiceProviderAuthenticator</class-name>
  </valve>
</jboss-web>

SP として機能する web アプリケーションは、org.picketlink クラスを見つけることができるように依存関係を jboss-deployment-structure.xml に定義する必要があります。JBoss EAP 6 は必要なすべての org.picketlink と関連クラスを提供するため、アプリケーションはこれらの依存関係を宣言して使用することのみが必要となります。

<jboss-deployment-structure>
  <deployment>
    <dependencies>
      <module name="org.picketlink"/>
    </dependencies>
  </deployment>
</jboss-deployment-structure>

この代わりに、依存関係を META-INF/MANIFEST.MF ファイルに定義することもできます。

Manifest-Version: 1.0
Build-Jdk: 1.6.0_24
Dependencies: org.picketlink

picketlink.xml ファイルは authenticator の動作を管理し、アプリケーションの起動時にロードされます。

ファイルには、少なくとも次の要素が含まれている必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" BindingType="POST">
    <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
    <ServiceURL>${sales-post.url::http://localhost:8080/sales-post/}</ServiceURL>
  </PicketLinkSP>
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
  </Handlers>
</PicketLink>

デフォルトでは、picketlink.xml は IDP web アプリケーションの WEB-INF ディレクトリーにあります。ただし、アプリケーション外の picketlink.xml へのカスタムパスを設定できます。これは、複数の JBoss EAP 6 インスタンス間で複数のアプリケーションが同じ picketlink.xml 設定を共有している場合に便利です。

<jboss-web>
...
  <valve>
    <class-name>...</class-name>
      <param>
        <param-name>timerInterval</param-name>
        <param-value>5000</param-value>
      </param>
      <param>
        <param-name>configFile</param-name>
        <param-value>path-to/picketlink.xml</param-value>
      </param>
  </valve>
</jboss-web>

あるサービスプロバイダーで開始されるグローバルログアウトプロファイルで、アイデンティティープロバイダー (IDP) およびすべてのサービスプロバイダーからユーザーをログアウトします。

<html>
  <head></head>
  <body>
    <p>You have successfully logged out.</p>
  </body>
</html>

<a href="?GLO=true">Click to LogOut</a>

グローバルログアウトプロファイルの他に、ローカルログアウトを使用することもできます。グローバルログアウトプロファイルとは対照的に、ローカルログアウトはプリンシパルを 1 つの SP からログアウトし、セッションはそのまま IDP およびその他の SP にすべて残します。基本的に、ローカルログアウトにより、プリンシパルを単一の SP で「ローカルにログアウト」できます。

ローカルログアウトを使用するプロセスは基本的に Global Logout Profile と同じですが、logout リンクの URL パラメーターは LLO=true の形式を取ります。

<a href="?LLO=true">Click to LogOut</a>

プリンシパルが SP のローカルログアウトリンクをクリックすると、SP はセッションを無効にし、プリンシパルが設定されたログアウトページに転送します。

JBoss EAP 6 設定ファイルでは、スタンドアロンインスタンスの standalone.xml またはドメインの domain.xml に org.wildfly.extension.picketlink 拡張を追加します。

<extensions>
  ...
  <extension module="org.wildfly.extension.picketlink"/>
  ...
</extensions>

JBoss EAP 6 設定ファイルでは、スタンドアロンインスタンスの standalone.xml またはドメインの domain.xml に jboss:domain:picketlink-federation:1.1 サブシステムを追加します。

<profile>
  ...
  <subsystem xmlns="urn:jboss:domain:picketlink-federation:1.1"/>
  ...
</profile>

前のセクション で説明したように、SAMLv2 を使用して SSO を手動で設定する場合は、以下のファイルを作成または更新する必要があります。

サブシステムを使用して SAML v2 を使用して SSO のフェデレーションを設定すると、設定の大半は管理インターフェースによって発生しますが、これらのファイルは更新されません。アプリケーションで実行する必要がある唯一の設定は、IDPs および SPs の web.xml ファイルで <security-constraint> および関連づけられた <security-role>を設定することです。さらに、web.xml の <login-config> と、ログインページとエラーページも IDP に存在する必要があります。

アプリケーションの準備ができたら、それらをデプロイできます。

JBoss EAP 6 インスタンスが設定され、アプリケーションがセットアップおよびデプロイされると、管理コンソールからフェデレーションを作成できます。

ID プロバイダー サブタブと サービスプロバイダー サブタブの両方の 詳細 セクションを使用して、追加の詳細を設定したり、既存の IDP または SP を更新したりできます。

Database Login Module の ID ストアを設定するには、次の操作が必要です。

次のデータポイントが必要です。

Database Login モジュールでは、ユーザー名をパスワードにマップするクエリーと、ユーザー名をロールおよびロールグループにマップするクエリーを作成する必要があります。この情報はさまざまな方法でデータベースに保存できますが、テーブルを含むデータベースの作成については本書の範囲外となります。この例では、以下の表が作成されていることを前提としています。

この例では、idpDS という名前のデータソースが作成され、適切に設定され 、JBoss EAP 6 インスタンスにデプロイされていることを前提とします。このデータソースは、sso-users および sso-roles テーブルを格納するデータベースに接続します。

LDAP ログインモジュールの設定前に、適切に設定された LDAP サーバーが必要です。Database ログインモジュールとは異なり、LDAP ログインモジュールの設定にデータソースは必要ありません。LDAP の基本と、それが JBoss EAP 6 セキュリティーにどのように関連するかについては、Red Hat JBoss Enterprise Application Platform 6 セキュリティーアーキテクチャー のドキュメントで説明されています。

dn: dc=example,dc=com
objectclass: top
objectclass: dcObject
objectclass: organization
dc: example
o:  Example
#=============================
dn: ou=People,dc=example,dc=com
objectclass: top
objectclass: organizationalUnit
ou: People
#=============================
dn: uid=jsmith,ou=People,dc=example,dc=com
objectclass: top
objectclass: uidObject
objectclass: person
uid: jsmith
cn: John
sn: Smith
userPassword: theduke
#=============================
dn: ou=Roles,dc=example,dc=com
objectclass: top
objectclass: organizationalUnit
ou: Roles
#=============================
dn: cn=Sample,ou=Roles,dc=example,dc=com
objectclass: top
objectclass: groupOfNames
cn: Sample
member: uid=jsmith,ou=People,dc=example,dc=com
description: the Sample group

LdapExtended ログインモジュール (推奨) と Ldap ログインモジュールの両方を設定するために必要な手順は、Red Hat JBoss Enterprise Application Platform 6 の Identity Management を設定する方法 を参照してください。

IDP および SP で直接セキュリティーアサーションの暗号化を有効にするには、IDP ファイルと SP picketlink.xml ファイルの両方で以下の手順を実行する必要があります。

IDP の場合は、Encrypt および SupportsSignatures 属性を <PicketLinkIDP> に、true になるように追加または更新します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1"
    Encrypt="true" SupportsSignatures="true">
    ...
  </PicketLinkIDP>
</PicketLink>

SP の場合は、<PicketLinkSP> の SupportsSignatures に追加または更新します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1"
        SupportsSignatures="true">
  ...
  </PicketLinkSP>
</PicketLink>

IDP では、SAML2EncryptionHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2EncryptionHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
  </Handlers>
</PicketLink>

SP では、SAML2SignatureGenerationHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
  </Handlers>
</PicketLink>

IDP の要素は <PicketLinkIDP> に追加する必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1"
    Encrypt="true" SupportsSignatures="true">
    ...
    <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
      <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
      <Auth Key="KeyStorePass" Value="store123" />
      <Auth Key="SigningKeyPass" Value="test123" />
      <Auth Key="SigningKeyAlias" Value="servercert" />
      <ValidatingAlias Key="idp.example.com" Value="servercert" />
      <ValidatingAlias Key="localhost" Value="servercert" />
      <ValidatingAlias Key="sp1.example.com" Value="servercert" />
      <ValidatingAlias Key="sp2.example.com" Value="servercert" />
    </KeyProvider>
    ...
  </PicketLinkIDP>
  ...
<PicketLink>

SP の場合は、<PicketLinkSP> に要素を追加する必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1"
        SupportsSignatures="true">
    ...
    <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
      <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
      <Auth Key="KeyStorePass" Value="store123" />
      <Auth Key="SigningKeyPass" Value="test123" />
      <Auth Key="SigningKeyAlias" Value="servercert" />
      <ValidatingAlias Key="idp.example.com" Value="servercert" />
      <ValidatingAlias Key="localhost" Value="servercert" />
    </KeyProvider>
  ...
  </PicketLinkSP>
</PicketLink>

IDP および SP で直接セキュリティーアサーションのデジタル署名を有効にするには、IDP ファイルと SP picketlink.xml ファイルの両方で以下の手順を実行する必要があります。

IDP および SP の場合は、<PicketLinkSP> の SupportsSignatures 属性を true に追加または更新します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1"
    SupportsSignatures="true">
    ...
  </PicketLinkIDP>
</PicketLink>

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1"
        SupportsSignatures="true">
  ...
  </PicketLinkSP>
</PicketLink>

IDP および SP では、SAML2SignatureGenerationHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
  </Handlers>
</PicketLink>

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
    <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
  </Handlers>
</PicketLink>

IDP の要素は <PicketLinkIDP> に追加する必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1"
    SupportsSignatures="true">
    ...
    <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
      <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
      <Auth Key="KeyStorePass" Value="store123" />
      <Auth Key="SigningKeyPass" Value="test123" />
      <Auth Key="SigningKeyAlias" Value="servercert" />
      <ValidatingAlias Key="idp.example.com" Value="servercert" />
      <ValidatingAlias Key="localhost" Value="servercert" />
      <ValidatingAlias Key="sp1.example.com" Value="servercert" />
      <ValidatingAlias Key="sp2.example.com" Value="servercert" />
    </KeyProvider>
    ...
  </PicketLinkIDP>
  ...
<PicketLink>

SP の場合は、<PicketLinkSP> に要素を追加する必要があります。

<PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
  ...
  <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1"
        SupportsSignatures="true">
    ...
    <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
      <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
      <Auth Key="KeyStorePass" Value="store123" />
      <Auth Key="SigningKeyPass" Value="test123" />
      <Auth Key="SigningKeyAlias" Value="servercert" />
      <ValidatingAlias Key="idp.example.com" Value="servercert" />
      <ValidatingAlias Key="localhost" Value="servercert" />
    </KeyProvider>
  ...
  </PicketLinkSP>
</PicketLink>