Portal for ArcGIS ожидает, что идентификатор имен SAML будет передаваться из IdP пользователю, пытающемуся войти на Portal for ArcGIS. Чтобы сделать эти данные доступными, требуется настроить распознаватель атрибутов Shibboleth, изменив файл SHIBBOLETH_HOME/conf/attribute-resolver.xml.

Следующее определение атрибута посылает основное имя пользователя, который был аутентифицирован Shibboleth IdP в идентификатор имени, в Portal for ArcGIS.

<!-- Name identifier for passing principal name to Portal for ArcGIS -->
    <resolver:AttributeDefinition id="principal" xsi:type="PrincipalName" xmlns="urn:mace:shibboleth:2.0:resolver:ad">
        <resolver:AttributeEncoder xsi:type="SAML2StringNameID" xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
            nameFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:unspecified" />
    </resolver:AttributeDefinition>

Настройте фильтр атрибутов Shibboleth на выпуск основного имени пользователя, закодированного как NameID, в Portal for ArcGIS после аутентификации пользователя. Значение параметра NameID будет использоваться как имя пользователя в организации.

Для добавления данного фильтра откройте файл SHIBBOLETH_HOME/conf/attribute-filter.xml и добавьте следующую политику фильтра атрибутов в XML-элемент AttributeFilterPolicyGroup.

<!-- release the NameID to webadaptor.domain.com.arcgis -->
    <afp:AttributeFilterPolicy>
            <afp:PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="webadaptor.domain.com.arcgis" />
                <afp:AttributeRule attributeID="principal">
                <afp:PermitValueRule xsi:type="basic:ANY" />
            </afp:AttributeRule>
    </afp:AttributeFilterPolicy>

Portal for ArcGIS поддерживает поток атрибутов givenName и email address корпоративной учетной записи от корпоративного провайдера идентификации. Когда пользователь осуществляет вход с использованием корпоративной учетной записи, и Portal for ArcGIS получает атрибуты с именами givenname и email или mail (любой вариант), Portal for ArcGIS заполняет полное имя и адрес электронной почты для учетной записи пользователя значениями, полученными от провайдера идентификации.

Рекомендуется, чтобы вы пропустили адрес электронной почты от провайдера идентификации в Portal for ArcGIS. Это помогает, если пользователь в дальнейшем становится администратором. Наличие адреса электронной почты для учетной записи дает пользователю возможность получать уведомления о любой административной деятельности и отправлять приглашения другим пользователям о присоединении к организации.

Настройте источник аутентификации, используемый SimpleSAMLphp IdP. На следующем примере показано, как настроить Apache Directory Server в качестве хранилища пользователя на работу с Shibboleth с помощью файла SHIBBOLETH_HOME/conf/login.config.

ShibUserPassAuth {   edu.vt.middleware.ldap.jaas.LdapLoginModule required      ldapUrl="ldap://host:port"
      baseDn="ou=users,ou=system"
      ssl="true"
      serviceUser="uid=admin,ou=system"
      serviceCredential="secret"
      subtreeSearch="true"
      userField="uid"
      userFilter="uid={0}";
};

Включите обработчик учетных записей UsernamePassword в Shibboleth. С использованием обработчика учетных записей пользователи могут входить с именем пользователя и паролем из источника аутентификации, настроенного в предыдущем шаге.

<!--  Username/password login handler -->
         <ph:LoginHandler xsi:type="ph:UsernamePassword" 
                  jaasConfigurationLocation="file://<SHIBBOLETH_HOME>/conf/login.config">
        <ph:AuthenticationMethod>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</ph:AuthenticationMethod>
    </ph:LoginHandler>

Portal for ArcGIS не поддерживает зашифрованные утверждения SAML от провайдеров идентификации, поэтому, вам следует выключить шифрование утверждений в Shibboleth. Чтобы выключить шифрование утверждений, откройте файл SHIBBOLETH_HOME/conf/relying-party.xml и найдите раздел "saml: SAML2SSOProfile" внутри элемента. В этом разделе измените значение encryptAssertions на never.

<rp:DefaultRelyingParty provider="https://grid3.esri.com/idp/shibboleth"
defaultSigningCredentialRef="IdPCredential">
...     <rp:ProfileConfiguration xsi:type="saml:SAML2SSOProfile" includeAttributeStatement="true"
          assertionLifetime="PT5M" assertionProxyCount="0"
          signResponses="never" signAssertions="always"
          encryptAssertions="never" encryptNameIds="never"
          includeConditionsNotBefore="true"/>
...
</rp:DefaultRelyingParty>