角色SSO的SAML响应

Subject

Subject必须包含以下元素：

1. 有且仅有一个NameID元素，火山引擎角色SSO对于NameID取值无要求，该值通常用于标识企业用户的身份。您可以依据SAML协议规范自行指定NameID取值。。

2. SubjectConfirmation元素中，以下字段需要包含唯一有效的取值：

   1. NotOnOrAfter：用于指定断言有效期，UTC时间。

   2. Recipient：火山引擎需要基于Recipient验证自身确实为当前响应的接收方，其取值必须为https://signin.volcengine.com/saml/sso

Subject元素示例：

<saml:Subject>
   <saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:emailAddress">user1@company.com</saml:NameID>
   <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    <saml:SubjectConfirmationData NotOnOrAfter="2022-11-28T12:26:14Z" Recipient="https://signin.volcengine.com/saml/sso"></saml:SubjectConfirmationData>
   </saml:SubjectConfirmation>
  </saml:Subject>

Conditions

在Conditions元素中，必须包含一个AudienceRestriction元素，其中需要有包含唯一有效的Audience元素，用于指定响应的受众。其必须包含一个固定的值，且与火山引擎提供的角色SSO SAML元数据文件中的EntityID取值一致，格式为https://www.volcengine.com/
Conditions元素的示例：

<saml:Conditions NotBefore="2022-11-28T12:20:14Z" NotOnOrAfter="2022-11-28T12:26:14Z">
 <saml:AudienceRestriction>
  <saml:Audience>https://www.volcengine.com/</saml:Audience>
 </saml:AudienceRestriction>
</saml:Conditions>

AttributeStatement

在AttributeStatement元素中，必须包含以下两个Attribute元素：

1. 身份属性

   1. 属性的Name为固定值https://www.volcengine.com/SAML/Attributes/Identity

   2. 属性的值用于声明用于SSO登录的IAM角色的信息。至少包含一个属性值，可包含多个属性值，即一个企业用户可映射多个角色，如有多个则会在登录页面上列出供选择。取值为角色Trn，格式为：

      trn:iam::${AccountID}:role/${RoleName},trn:iam::${AccountID}:saml-provider/${SAMLProviderName}。
          其中AccountID为您的火山引擎账号ID，RoleName为IAM角色名称，SAMLProviderName为身份提供商名称。

2. 会话名称属性。必须包含一个该属性。

   1. 属性的Name为固定值https://www.volcengine.com/SAML/Attributes/SessionName

   2. 属性的值用于指定会话名称。必须包含一个属性值，属性值可自定义，用作登录后的名称展示和审计。

3. 会话时长属性。可选包含该属性，且至多包含一个。

   1. 属性的Name为固定值https://www.volcengine.com/SAML/Attributes/SessionDuration

   2. 属性的值用于指定角色登录态时长。如不传递该属性，则默认角色的最大登录时长为3600秒。如传递该属性，则必须包含一个属性值，属性值需要在900-43200秒之间，用于指定角色的登录态时长。

AttributeStatement元素的示例：

<saml:AttributeStatement>
   <saml:Attribute Name="https://www.volcengine.com/SAML/Attributes/Identity" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
    <saml:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">trn:iam::${AccountID}:user/user1,trn:iam::${AccountID}:saml-provider/onelogin</saml:AttributeValue>
   </saml:Attribute>
   <saml:Attribute Name="https://www.volcengine.com/SAML/Attributes/SessionName" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
    <saml:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">sessionNameForRole</saml:AttributeValue>
   </saml:Attribute>
   <saml:Attribute Name="https://www.volcengine.com/SAML/Attributes/SessionDuration" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
    <saml:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">7200</saml:AttributeValue>
   </saml:Attribute>
  </saml:AttributeStatement>