Single sign-on bằng SAML với Laravel 5

Thứ Ba, 11/02/2020

Tram Ho

Giới thiệu

Đây là những memo khi sử dụng Single sign-on bằng SAML cho Laravel 5.

Phần lớn nội dung là giống với README của laravel-saml2.

Môi trường

Hoạt động từ Laravel 5.4 trở về sau.

Cài đặt

Cài đặt laravel-saml2

composer require aacotroneo/laravel-saml2

Với các phiên bản Laravel trước 5.5, thì cần thêm Service Provider vào configapp.php như bên dưới:

configapp.php

'providers' =&gt; [
        ...
        AacotroneoSaml2Saml2ServiceProvider::class,
]

'alias' =&gt; [
        ...
        'Saml2' =&gt; AacotroneoSaml2FacadesSaml2Auth::class,
]

'providers' => [

...

AacotroneoSaml2Saml2ServiceProvider::class,

]

'alias' => [

...

'Saml2' => AacotroneoSaml2FacadesSaml2Auth::class,

]

Thực hiện vendor:publish
php artisan vendor:publish --provider="AacotroneoSaml2Saml2ServiceProvider"
appconfigsaml2_settings.php sẽ được tạo ra.

Tạo Laravel authenticataion

Tạo Auth cho Laravel

php artisan make:auth
php artisan migrate

php artisan make:auth

php artisan migrate

Cài đặt SAML

Đăng ký metadata vào Idp

Xác nhận metadata SAML của phía Laravel (SAML SP) theo link bên dưới, sau đó đăng ký vào phía IdP.

http://localhost/Laravel-app-name/public/saml2/metadata

Thiết lập metadata IdP cho Laravel

Thiết lập metadata IdP vào saml2_settings.php của phía Laravel.

Chỉ định các biến môi trường entityId, singleSignOnService, singleLogoutService, x509cert.

Chỗ này là đang sử dụng IdP Google.

appconfigsaml2_settings.php

// Identity Provider Data that we want connect with our SP
    'idp' =&gt; array(
        // Identifier of the IdP entity  (must be a URI)
        'entityId' =&gt; 'https://accounts.google.com/o/saml2?idpid=****',
        // SSO endpoint info of the IdP. (Authentication Request protocol)
        'singleSignOnService' =&gt; array(
            // URL Target of the IdP where the SP will send the Authentication Request Message,
            // using HTTP-Redirect binding.
            'url' =&gt; 'https://accounts.google.com/o/saml2/idp?idpid=****',

        ),
        // SLO endpoint info of the IdP.
        'singleLogoutService' =&gt; array(
            // URL Location of the IdP where the SP will send the SLO Request,
            // using HTTP-Redirect binding.
            'url' =&gt; 'https://accounts.google.com/Logout',
        ),
        // Public x509 certificate of the IdP
        'x509cert' =&gt; '****',
        /*
         *  Instead of use the whole x509cert you can use a fingerprint
         *  (openssl x509 -noout -fingerprint -in "idp.crt" to generate it)
         */
        // 'certFingerprint' =&gt; '',

// Identity Provider Data that we want connect with our SP

'idp' => array(

// Identifier of the IdP entity (must be a URI)

'entityId' => 'https://accounts.google.com/o/saml2?idpid=****',

// SSO endpoint info of the IdP. (Authentication Request protocol)

'singleSignOnService' => array(

// URL Target of the IdP where the SP will send the Authentication Request Message,

// using HTTP-Redirect binding.

'url' => 'https://accounts.google.com/o/saml2/idp?idpid=****',

// SLO endpoint info of the IdP.

'singleLogoutService' => array(

// URL Location of the IdP where the SP will send the SLO Request,

// using HTTP-Redirect binding.

'url' => 'https://accounts.google.com/Logout',

// Public x509 certificate of the IdP

'x509cert' => '****',

* Instead of use the whole x509cert you can use a fingerprint

* (openssl x509 -noout -fingerprint -in "idp.crt" to generate it)

// 'certFingerprint' => '',

Thay đổi routesMiddleware

Vì Login session chưa được tạo ra khi thêm VerifyCsrfToken, nên phải thay đổi routesMiddleware của saml2_settings.php như bên dưới:

appconfigsaml2_settings.php
'routesMiddleware' => ['saml'],

Thêm Middle ware group SAML mới vào Kernel.php.

Nội dung của saml group sau khi bỏ VerifyCsrfToken ra khỏi web group.

appHttpKernel.php

protected $middlewareGroups = [
        'web' =&gt; [
            AppHttpMiddlewareEncryptCookies::class,
            IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
            IlluminateSessionMiddlewareStartSession::class,
            // IlluminateSessionMiddlewareAuthenticateSession::class,
            IlluminateViewMiddlewareShareErrorsFromSession::class,
            AppHttpMiddlewareVerifyCsrfToken::class,
            IlluminateRoutingMiddlewareSubstituteBindings::class,
        ],

        'api' =&gt; [
            'throttle:60,1',
            'bindings',
        ],

        // samlグループを追加
        'saml' =&gt; [
            AppHttpMiddlewareEncryptCookies::class,
            IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
            IlluminateSessionMiddlewareStartSession::class,
            IlluminateViewMiddlewareShareErrorsFromSession::class,
            IlluminateRoutingMiddlewareSubstituteBindings::class,
        ],
    ];

protected $middlewareGroups = [

'web' => [

AppHttpMiddlewareEncryptCookies::class,

IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,

IlluminateSessionMiddlewareStartSession::class,

// IlluminateSessionMiddlewareAuthenticateSession::class,

IlluminateViewMiddlewareShareErrorsFromSession::class,

AppHttpMiddlewareVerifyCsrfToken::class,

IlluminateRoutingMiddlewareSubstituteBindings::class,

'api' => [

'throttle:60,1',

'bindings',

// samlグループを追加

'saml' => [

AppHttpMiddlewareEncryptCookies::class,

IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,

IlluminateSessionMiddlewareStartSession::class,

IlluminateViewMiddlewareShareErrorsFromSession::class,

IlluminateRoutingMiddlewareSubstituteBindings::class,

];

Tạo phần authentication

Tạo Event listen cho SAML login và logout

Mô tả event khi SAML login và logout.

Vì liên kết với Auth của Laravel nên sẽ làm như sau:

Khi SAML login thì Auth cũng login
Khi SAML logout thì Auth cũng logout

Thêm method boot vào EventServiceProvider.php
appProvidersEventServiceProvider.php

 Event::listen('AacotroneoSaml2EventsSaml2LoginEvent', function (Saml2LoginEvent $event) {
            $messageId = $event-&gt;getSaml2Auth()-&gt;getLastMessageId();
        // your own code preventing reuse of a $messageId to stop replay attacks
        $user = $event-&gt;getSaml2User();

        // 属性からUserモデルを取得する
        $userData = [
            'id' =&gt; $user-&gt;getUserId(),
            'attributes' =&gt; $user-&gt;getAttributes(),
            'assertion' =&gt; $user-&gt;getRawSamlAssertion()
        ];
        $laravelUser = AppUser::where('email', $userData['attributes']['emailAddress'])-&gt;first();

        //if it does not exist create it and go on  or show an error message
        if ($laravelUser) {
            Auth::login($laravelUser);
        } else {
            abort(401, 'Authorization Required');
        }
        });

Event::listen('AacotroneoSaml2EventsSaml2LogoutEvent', function ($event) {
            Auth::logout();
            Session::save();
        });

Event::listen('AacotroneoSaml2EventsSaml2LoginEvent', function (Saml2LoginEvent $event) {

$messageId = $event->getSaml2Auth()->getLastMessageId();

// your own code preventing reuse of a $messageId to stop replay attacks

$user = $event->getSaml2User();

// 属性からUserモデルを取得する

$userData = [

'id' => $user->getUserId(),

'attributes' => $user->getAttributes(),

'assertion' => $user->getRawSamlAssertion()

];

$laravelUser = AppUser::where('email', $userData['attributes']['emailAddress'])->first();

//if it does not exist create it and go on or show an error message

if ($laravelUser) {

Auth::login($laravelUser);

} else {

abort(401, 'Authorization Required');

}

});

Event::listen('AacotroneoSaml2EventsSaml2LogoutEvent', function ($event) {

Auth::logout();

Session::save();

});

Đồng bộ các thuộc tính thu được với môi trường.
Nếu xảy ra lỗi 401 khi xác thực thì sử dụng view 401 tương ứng như link ở dưới:
appresourcesviewserrors401.blade.php

Tạo Middleware SAML authentication

Tạo Middleware để xác thực SAML.
Bằng việc sử sụng Middleware này, cần login SAML để truy cập đến các pages.

Sử dụng lênh artisan để tạo Middleware tên SamlAuth.

php artisan make:middleware SamlAuth

Chỉnh sửa SamlAuth.php như sau:

appHttpMiddlewareSamlAuth.php

&lt;?php

namespace AppHttpMiddleware;

use Closure;
use IlluminateSupportFacadesAuth;
use IlluminateSupportFacadesURL;
use AacotroneoSaml2FacadesSaml2Auth;

class SamlAuth
{

    /**
     * Handle an incoming request.
     *
     * @param  IlluminateHttpRequest  $request
     * @param  Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {

        // SAMLログイン認証
        if (Auth::guest()) {
            if ($request-&gt;ajax()) {
                return response('Unauthorized.', 401);
            } else {
                Saml2Auth::login(URL::full());
            }
        }
        return $next($request);
    }

}

<?php

namespace AppHttpMiddleware;

use Closure;

use IlluminateSupportFacadesAuth;

use IlluminateSupportFacadesURL;

use AacotroneoSaml2FacadesSaml2Auth;

class SamlAuth

{

/**

* Handle an incoming request.

* @param IlluminateHttpRequest $request

* @param Closure $next

* @return mixed

public function handle($request, Closure $next)

{

// SAMLログイン認証

if (Auth::guest()) {

if ($request->ajax()) {

return response('Unauthorized.', 401);

} else {

Saml2Auth::login(URL::full());

}

return $next($request);

}

Đăng ký SamlAuth vào routeMiddleware của Kernel.php.

appHttpKernel.php

    protected $routeMiddleware = [
        'auth' =&gt; IlluminateAuthMiddlewareAuthenticate::class,
        'auth.basic' =&gt; IlluminateAuthMiddlewareAuthenticateWithBasicAuth::class,
        'bindings' =&gt; IlluminateRoutingMiddlewareSubstituteBindings::class,
        'can' =&gt; IlluminateAuthMiddlewareAuthorize::class,
        'guest' =&gt; AppHttpMiddlewareRedirectIfAuthenticated::class,
        'throttle' =&gt; IlluminateRoutingMiddlewareThrottleRequests::class,
        // 追加
        'samlauth' =&gt; AppHttpMiddlewareSamlAuth::class,
    ];

protected $routeMiddleware = [

'auth' => IlluminateAuthMiddlewareAuthenticate::class,

'auth.basic' => IlluminateAuthMiddlewareAuthenticateWithBasicAuth::class,

'bindings' => IlluminateRoutingMiddlewareSubstituteBindings::class,

'can' => IlluminateAuthMiddlewareAuthorize::class,

'guest' => AppHttpMiddlewareRedirectIfAuthenticated::class,

'throttle' => IlluminateRoutingMiddlewareThrottleRequests::class,

// 追加

'samlauth' => AppHttpMiddlewareSamlAuth::class,

];

Sử dụng authentication

Sử dụng Middleware authentication.

Bên dưới là 1 ví dụ của việc sử dụng middleware cho route group.

Route::middleware(['samlauth'])-&gt;group(function () {
    Route::get('/home', '<a href="/cdn-cgi/l/email-protection" class="__cf_email__">[email protected]</a>');
});

Route::middleware(['samlauth'])->group(function () {

Route::get('/home', '<a href="/cdn-cgi/l/email-protection" class="__cf_email__">[email protected]</a>');

});

Kiểm tra hoạt động

Tạo data user có email và IdP tại table Users.

Truy cập vào /home, sẽ xuất hiện màn hình login IdP.

Tiến hành login bằng email address.

Tham khảo

Laravel 5 でSAMLシングルサインオンする

Chia sẻ bài viết ngay

Nguồn bài viết : Viblo