SAML中SP与IDP信任机制及SP元数据配置问题咨询

1. 能否使用OpenSSL等工具创建公私钥对来生成SP元数据？ #

完全可以，具体步骤如下：

• 生成RSA公私钥对与证书：

  # 生成私钥
  openssl genrsa -out sp-private.key 2048
  # 生成自签名证书
  openssl req -new -x509 -key sp-private.key -out sp-cert.crt -days 365
  

• 手动编写SP元数据XML文件，将证书的PEM内容（去除-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----）嵌入到<X509Certificate>标签中，同时填写SP实体ID、断言消费服务（ACS）URL等关键信息。示例结构：

  <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="你的SP实体ID">
    <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
      <md:KeyDescriptor use="signing">
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
          <ds:X509Data>
            <ds:X509Certificate>这里粘贴证书PEM内容</ds:X509Certificate>
          </ds:X509Data>
        </ds:KeyInfo>
      </md:KeyDescriptor>
      <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="你的ACS地址" index="1"/>
    </md:SPSSODescriptor>
  </md:EntityDescriptor>
  

• 将这份元数据提供给IBM Secure Verify Access进行IDP端配置。

2. 私证书能否存储在Windows证书存储中？ #

可以操作，步骤如下：

• 将私钥与证书打包为PFX格式：

  openssl pkcs12 -export -out sp-cert.pfx -inkey sp-private.key -in sp-cert.crt
  

• 打开certlm.msc进入本地计算机证书存储，将PFX文件导入到「个人」存储区。
  多数基于IIS的.NET软件（你已修改web.config）支持通过配置证书指纹/主题名称，直接从Windows证书存储读取证书，无需处理本地文件路径。

3. 是否需要修改SP产品代码以处理证书及私钥？ #

分两种情况：

• 如果软件的web.config已预留SAML相关配置节点（如证书指纹、SP实体ID、ACS URL等），只需正确配置这些参数，确保软件能读取证书/私钥即可，无需修改代码。
• 如果软件完全没有SAML配置入口，也不支持加载外部证书，建议优先联系厂商获取支持（补丁或配置指引），不要自行修改代码。

相关问题翻译 #

我在哪里可以找到有关SP如何使用其私钥对身份验证请求进行签名并将其发送到IdP的URL的信息？

内容的提问来源于stack exchange，提问作者kontrolltermin