Shibboleth SP嵌入式发现服务（EDS）配置求助：无法显示IDP选择界面

Hey there! Let's walk through how to get your Shibboleth SP's Embedded Discovery Service (EDS) up and running so you can see that IDP selection screen. I've put together the key steps and config details tailored to your setup with Oracle IDCS (idp1) and id.me (idp2):

1. 确认EDS模块已启用并配置 #

首先要确保Shibboleth SP的主配置文件 shibboleth2.xml 里正确启用了EDS模块。找到 <ApplicationDefaults> 节点，调整或添加以下配置：

<ApplicationDefaults entityID="your-sp-entity-id"
    REMOTE_USER="eppn persistent-id targeted-id"
    discoveryURL="/Shibboleth.sso/Login"
    discoveryProtocol="SAMLDS">
    <!-- 配置链式发现服务，嵌入EDS作为默认插件 -->
    <Discovery type="Chaining">
        <DiscoveryPlugin type="Embedded" template="templates/embedded.html"/>
    </Discovery>
</ApplicationDefaults>

• discoveryProtocol="SAMLDS" 会触发EDS的逻辑；
• template 指定EDS使用的前端模板文件，默认路径是Shibboleth安装目录下的templates/embedded.html。

2. 导入IDP元数据到SP #

你需要让Shibboleth SP识别Oracle IDCS和id.me这两个IDP，方法是导入它们的元数据：

方式一：本地元数据文件 #

下载两个IDP的元数据XML文件，放到SP的metadata目录下（比如/etc/shibboleth/metadata/），然后在shibboleth2.xml里添加：

<!-- 导入Oracle IDCS元数据 -->
<MetadataProvider type="XML" file="metadata/idcs-idp-metadata.xml" />
<!-- 导入id.me元数据 -->
<MetadataProvider type="XML" file="metadata/idme-idp-metadata.xml" />

方式二：远程元数据（推荐，自动更新） #

如果IDP支持远程元数据分发，用URL配置并开启自动刷新：

<MetadataProvider type="XML" url="https://your-idcs-tenant/metadata" 
    backingFilePath="metadata/idcs-idp-metadata.xml" reloadInterval="3600" />
<MetadataProvider type="XML" url="https://id.me/saml/metadata" 
    backingFilePath="metadata/idme-idp-metadata.xml" reloadInterval="3600" />

注意：确保metadata目录权限正确，Shibboleth服务进程能读取这些文件。

3. 检查EDS模板文件（可选但关键） #

默认的embedded.html模板可能需要确认是否正确遍历所有IDP。打开模板文件，检查是否有类似以下的循环逻辑来渲染IDP列表：

<% if (entities.length > 0) { %>
    <ul>
        <% entities.forEach(function(entity) { %>
            <li><a href="<%= entity.URL %>"><%= entity.DisplayName || entity.entityID %></a></li>
        <% }); %>
    </ul>
<% } %>

如果模板里没有这段，或者被修改过，可能导致IDP选择项不显示，建议恢复默认模板或补全这段逻辑。

4. 验证配置语法并重启服务 #

每次修改配置后，先验证语法是否正确：

• Linux系统：运行 shibd -t 命令，会输出配置检查结果；
• Windows系统：打开命令提示符，进入Shibboleth安装目录，运行 shibboleth-sp-config-validator.exe。

确认配置无误后，重启Shibboleth SP服务：

• Linux：systemctl restart shibd
• Windows：在服务管理器中重启“Shibboleth 2 Service”

5. 排查日志定位问题 #

如果还是看不到IDP选择界面，去Shibboleth的日志目录查看详细日志：

• Linux：默认路径 /var/log/shibboleth/shibd.log 和 /var/log/shibboleth/transaction.log
• Windows：打开事件查看器，定位到“应用程序和服务日志”下的“Shibboleth”

重点查找以下类型的错误：

• 元数据加载失败（比如文件不存在、权限不足）
• EDS模块初始化错误
• 发现服务路径配置错误

如果按照以上步骤操作后仍有问题，可以把shibboleth2.xml中的相关配置片段（敏感信息打码）和日志中的错误内容贴出来，这样能更精准地帮你定位问题。

备注：内容来源于stack exchange，提问作者sriv