ページ履歴

Shibboleth IdP 3.3より導入されたMultiFactorフローを用いた認証設定についてのドキュメントです。3より導入されたMultiFactor認証フローを用いた認証設定についてのドキュメントです。本ドキュメントはSAML 2.0で認証の切り替えを行うことを目的としており、SAML1は対象外です（LevelXを用いた認証要求はできません）。

T.B.D.

MultiFactorフローの設定は、MultiFactor認証フローの設定は、conf/authn/mfa-authn-config.xmlで行います。

また、confまた、conf/idp.propertiesのidppropertiesのidp.authn.flowsでflowsでMultiFactorフローを有効します。注意点として、意図を通りでない方法でIdPが有効とした認証フローを実行するかもしれないため、ルールやスクリプトを介してMultiFactorフローから呼び出す認証フローは有効にすべきではない、とされています。MultiFactor認証フローから呼び出す認証フローは有効にすべきではない、とされています。

 # Regular expression matching login flows to enable, e.g. IPAddress|Password
-idp.authn.flows= Password
+idp.authn.flows= MFA

T.B.D.

最初の認証フローが成功した場合に、2番目に実行する認証フローを指定してます。

下記は最初にPasswordフローによる認証を行い、Passwordフローの認証が成功した場合にX509フローの認証が行われます。X509フローの認証が成功すると認証成功となります。下記の例は、最初にPassword認証フローによる認証を行い、Password認証フローの認証が成功した場合にX509認証フローの認証が行われます。X509認証フローの認証が成功すると認証成功となります。

<util:map id="shibboleth.authn.MFA.TransitionMap">
    <!-- Run authn/Passowrd first. -->
    <entry key="">
        <bean parent="shibboleth.authn.MFA.Transition" p:nextFlow="authn/Passowrd" />
    </entry>
 
    <!-- If that returns "proceed", run authn/X509 next. -->
    <entry key="authn/Password">
        <bean parent="shibboleth.authn.MFA.Transition" p:nextFlow="authn/X509" />
    </entry>
         
    <!-- An implicit final rule will return whatever the second flow returns. -->
</util:map>

参考

• [Shibboleth wiki] MultiFactorAuthnConfiguration