第 8 章 mod_auth_mellon Apache Module

要安装所需的软件包，您需要：

要安装所需的软件包，请运行以下命令：

yum install httpd mod_auth_mellon mod_ssl openssl

yum install httpd mod_auth_mellon mod_ssl openssl

建议您将与 Apache 相关的配置文件保存在一个位置上。

在 Apache 配置根目录 /etc/httpd 下创建名为 saml2 的新目录：

mkdir /etc/httpd/saml2

mkdir /etc/httpd/saml2

Apache 附加组件模块的配置文件位于 /etc/httpd/conf.d 目录中，文件名为 .conf。您需要创建 /etc/httpd/conf.d/mellon.conf 文件，并将 Mellon 的配置指令放在该文件中。

Mellon 的配置指令可大致分为两类信息：

Apache 配置指令通常遵循 URL 空间中的分级树结构，这些结构称为位置。您需要为 Mellon 指定一个或多个 URL 位置来保护。您具有如何添加应用到每个位置的配置参数的灵活性。您可以将所有必要的参数添加到 location 块中，也可以将 Mellon 参数添加到特定保护位置继承的 URL 位置层次结构中（或两者的某些组合）。由于 SP 常以同样的方式运行，无论哪个位置都触发 SAML 操作，因此此处使用的示例配置将常见 Mellon 配置指令放置在层次结构中的 root 中，然后使用 Mellon 保护的特定位置。此策略可避免为每个受保护的位置复制相同的参数。

这个示例只有一个受保护的位置：https://$sp_host/private。

要配置 Mellon 服务供应商，请执行以下步骤。

 <Location / >
    MellonEnable info
    MellonEndpointPath /mellon/
    MellonSPMetadataFile /etc/httpd/saml2/mellon_metadata.xml
    MellonSPPrivateKeyFile /etc/httpd/saml2/mellon.key
    MellonSPCertFile /etc/httpd/saml2/mellon.crt
    MellonIdPMetadataFile /etc/httpd/saml2/idp_metadata.xml
 </Location>
 <Location /private >
    AuthType Mellon
    MellonEnable auth
    Require valid-user
 </Location>

 <Location / >
    MellonEnable info
    MellonEndpointPath /mellon/
    MellonSPMetadataFile /etc/httpd/saml2/mellon_metadata.xml
    MellonSPPrivateKeyFile /etc/httpd/saml2/mellon.key
    MellonSPCertFile /etc/httpd/saml2/mellon.crt
    MellonIdPMetadataFile /etc/httpd/saml2/idp_metadata.xml
 </Location>
 <Location /private >
    AuthType Mellon
    MellonEnable auth
    Require valid-user
 </Location>

浏览器正在计划将 Cookie 的 SameSite 属性的默认值设为 Lax。此设置意味着，只有请求来自同一域时才会将 Cookie 发送到应用程序。这个行为可能会影响 SAML POST 绑定，这可能会无法正常工作。要保留 mod_auth_mellon 模块的完整功能，我们建议将 mod_auth_mellon 创建的 cookie 的 SameSite 值设置为 None。不这样做可能会导致使用红帽构建的 Keycloak 登录。

要将 SameSite 值设置为 None，请在 mellon.conf 文件中添加以下 配置到 <Location / > tag。

MellonSecureCookie On
MellonCookieSameSite none

MellonSecureCookie On
MellonCookieSameSite none

对此配置的支持包括在 0.16.0 版本的 mod_auth_mellon 模块中。

在 SAML IdP 和 SP 中，用于交换 SAML 元数据，它们是 XML 格式。元数据的 schema 是标准的，因此相关的 SAML 实体可以互相使用其元数据。您需要：

SAML 元数据的一个组件是 X509 证书。这些证书用于两个目的：

如果您已拥有证书颁发机构(CA)，也可以使用自己的证书，也可以生成自签名证书。在本示例中简单性，使用了自签名证书。

因为 Mellon 的 SP 元数据必须反映已安装 mod_auth_mellon 版本的功能，所以必须是有效的 SP 元数据 XML，且必须包含 X509 证书（创建错误时，除非您熟悉 X509 证书生成）最先生成 SP 元数据的方式是使用 mod_auth_mellon 软件包中包含的工具(mellon_create_metadata.sh)。之后，生成的元数据始终可以被编辑，因为它是一个文本文件。该工具还创建您的 X509 密钥和证书。

SAML IdP 和 SPs 使用称为 EntityID 的唯一名称来识别自己。要使用 Mellon 元数据创建工具，您需要：

要创建 SP 元数据，请执行以下步骤。

假设：红帽构建的 Keycloak IdP 已在 $idp_host 上安装。

Red Hat build of Keycloak 支持多个租期，其中所有用户、客户端等都分组到一个域里。每个域都独立于其他域。您可以在红帽构建的 Keycloak 中使用现有域，但本示例演示了如何创建名为 test_realm 的新域，并使用该域。

所有这些操作都使用红帽构建的 Keycloak 管理控制台来执行。您必须具有 $idp_host 的 admin 用户名和密码才能执行以下步骤。