ITfoxtec Identity SAML 2.0：LogoutRequest签名及元数据证书配置咨询

我们已基于ITfoxtec Identity SAML 2.0包为多家客户完成部署，当前某客户提出以下要求：必须对LogoutRequest进行签名，且需将签名证书添加至SP元数据供IDP验证签名来源；同时推荐使用同一证书对AuthnRequest签名。以下是具体配置步骤：

一、准备签名证书 #

• 先搞定带私钥的X.509证书，自签或CA颁发均可，证书需支持数字签名用途
• 将证书公钥导出为Base64编码的CER格式（去掉首尾的-----BEGIN CERTIFICATE-----、-----END CERTIFICATE-----及换行），私钥需妥善存储在应用服务器安全位置，比如本地证书库或密钥容器

二、修改Web.Config配置 #

在现有<appSettings>节点中添加SP签名相关配置：

<!-- SP签名证书配置 -->
<add key="SamlSpSettings:signingcert" value="你的证书Base64内容" />
<add key="SamlSpSettings:signingcertpassword" value="证书私钥密码（如有设置）" />
<!-- 启用AuthnRequest签名 -->
<add key="SamlSpSettings:authnrequestsigning" value="true" />
<!-- 启用LogoutRequest签名 -->
<add key="SamlSpSettings:logoutrequestsigning" value="true" />

如果证书已安装在服务器证书库，也可改用指纹配置：<add key="SamlSpSettings:signingcertthumbprint" value="证书SHA-1/SHA-256指纹" />

三、代码中启用签名逻辑 #

1. 为AuthnRequest添加签名 #

在生成登录请求的代码段中，调用签名方法：

var authnRequest = new Saml2AuthnRequest(config);
authnRequest.SignAuthnRequest(); // 启用签名
// 后续请求跳转逻辑保持不变

2. 为LogoutRequest添加签名 #

在生成注销请求的代码段中，同样启用签名：

var logoutRequest = new Saml2LogoutRequest(config, sessionIndex, nameId);
logoutRequest.SignLogoutRequest(); // 启用签名
// 后续注销跳转逻辑保持不变

四、更新SP元数据并提供给客户IDP #

• 使用ITfoxtec库的元数据生成功能，生成包含签名证书公钥的SP元数据，确保<md:KeyDescriptor use="signing">节点中包含证书内容
• 元数据签名证书节点示例：

<md:KeyDescriptor use="signing">
  <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:X509Data>
      <ds:X509Certificate>你的证书Base64内容</ds:X509Certificate>
    </ds:X509Data>
  </ds:KeyInfo>
</md:KeyDescriptor>

将生成的元数据提供给客户IDP管理员，导入至IDP信任配置中

五、验证配置生效 #

• 发起登录请求，用抓包工具检查AuthnRequest是否包含<ds:Signature>节点
• 发起注销请求，同样检查LogoutRequest中的签名节点
• 与客户确认IDP可正常验证签名，无签名验证失败报错

内容的提问来源于stack exchange，提问作者David Archer