7.2. 服务供应商密钥和关键元素

如果 IdP 要求客户端应用程序（或 SP）为其所有请求签名，如果 IdP 将加密断言，则必须定义用于执行此操作的密钥。对于客户端签名的文档，您必须同时定义用于签署文档的私钥和公钥或证书。对于加密，您只需要定义用于解密它的私钥。

可以通过两种方式描述您的密钥。它们可以存储在 Java KeyStore 中，或者您可以直接以 PEM 格式在 keycloak-saml.xml 中复制/粘贴密钥。

        <Keys>
            <Key signing="true" >
               ...
            </Key>
        </Keys>

Key 元素有两个可选属性 signing 和 encryption。当设置为 true 时，告诉适配器使用哪个密钥。如果这两个属性都设为 true，则密钥将用于签名文档和解密加密的断言。您必须至少将其中一个属性设置为 true。

        <Keys>
            <Key signing="true" >
                <KeyStore resource="/WEB-INF/keystore.jks" password="store123">
                    <PrivateKey alias="myPrivate" password="test123"/>
                    <Certificate alias="myCertAlias"/>
                </KeyStore>
            </Key>
        </Keys>