将 JBoss GateIn 门户与 PicketLink-STS (SAML) 集成

Question

我正在尝试弄清楚（如果可能的话）如何将 JBoss GateIn Portal 应用程序与 PicketLink-STS 集成，以生成可用于实现“单点登录”的安全令牌（即 SAML 断言）（因此与后端对话）需要身份验证的 EJB 服务）。

有一些不错的文档介绍了如何使用 EJB 服务配置 JBoss 5.1，并通过 PicketLink-STS 保护它们，以便使用安全令牌进行身份验证（通过安全域和登录配置模块实现）。

然而，尚不清楚如何使 JBoss 5.1/GateIn 门户应用程序与 PicketLink-STS 集成，以便 Portlet 可以获得安全令牌（针对登录用户），然后将其传递给后端 EJB 服务。针对 PicketLink-STS 进行验证以进行身份​​验证？

想知道这是可能的还是一条死胡同。

Answer 1

我不是 GateIn 方面的专家，但是，我在经过一些研究后展示了我的结果。

首先，我基于版本 GateIn 3.4 是 JBoss 5 的最后一个版本。

要配置Gatein基于SAML令牌的身份验证，必须启用SSO身份验证，GateIn与SAML2的集成使用JBoss项目Picketlink 联盟。

SAML SSO 身份验证基于SP 和IDP 之间的信任圈。这可以通过以下链接中描述的步骤来完成：第 6 章. 身份验证和身份 - SAML

所需的资源可以可从以下网址下载：

• GateIn SSO： https://repository.jboss.org/nexus/content/groups/public/org/gatein/sso/sso-packaging/1.1.2-Beta02/sso-packaging-1.1.2-Beta02。 zip
• idp-sig（STS 和更多示例）： https://repository.jboss.org/nexus/service/local/repositories/releases/content/org/picketlink/quickstarts/picketlink-quickstarts/2.1.1.Final/picketlink-quickstarts-2.1。 1.Final-webapps-jboss-as5.zip

STS 配置是身份提供商，可以按照以下文档中的说明进行编辑：SecurityToken 服务配置（PicketLinkSTS 元素）

完成启用基于身份验证的所有步骤后SAML 令牌（正常工作），您必须将以下过滤器添加到 GateIn（如 SAML2LogoutFilter）：

<filter>
   <filter-name>PicketlinkSTSIntegrationFilter</filter-name>
   <filter-class>org.gatein.sso.agent.filter.PicketlinkSTSIntegrationFilter</filter-class>
</filter>

<filter-mapping>
   <filter-name>PicketlinkSTSIntegrationFilter</filter-name>
   <url-pattern>/*</url-pattern>
</filter-mapping>

此过滤器设置 org.picketlink.identity.federation.core。 wstrust.SamlCredential 到 org.jboss.security.client.SecurityClient，这使得能够将身份验证从 SAML2 票证传播到底层EJB 或WS 调用。

另请参阅：

• SAML EJB 与 PicketLink STS 集成
• SAML WS 与 PicketLink STS 集成

我希望这会有所帮助。