• 要求
  • 准备证书文件
  • 准备 IdP 元数据文件
  • 在 seafile 服务器上安装
  • 配置seafile
  • 配置 ADFS 服务
  • 测试

    要求

    要想使用 ADFS 登陆到 Seafile，需要以下组件：

    1、安装了 ADFS 的windows服务器。安装 ADFS 和相关配置详情请参考 本文。

    2、对于 ADFS 服务器的SSL有效证书，在这里我们使用 adfs-server.adfs.com 作为域名示例。

    3、对于 seafile 服务器的SSL有效证书，在这里我们使用 demo.seafile.com 作为域名示例。

    准备证书文件

    1、SP(Service Provider) 的 x.509 证书

    可以通过以下方式获取：

    1. openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout sp.key -out sp.crt

    x.509 证书用来签署和加密诸如SAML的NameID和Metadata等元素。

    然后将这两个文件复制到 /seahub-data/certs。如果证书文件夹不存在，请创建它。

    2、IdP(Identity Provider) 的 x.509 证书

    • 登陆到 ADFS 服务器并且打开 ADFS 管理。

    • 双击 Service 并选择 Certificates。

    • 导出 Token-Signing 证书：

      • 右击证书并选择 View Certificate。
      • 选择 Details 选项卡。
      • 单击 Copy to File (选择 DER encoded binary X.509)。

    • 将此证书转换为PEM格式，重命名为 idp.crt

    • 复制它到 /seahub-data/certs。

    准备 IdP 元数据文件

    • 打开 https://adfs-server.adfs.com/federationmetadata/2007-06/federationmetadata.xml

    • 保存这个 xml 文件，重命名为 idp_federation_metadata.xml

    • 复制它到 /seahub-data/certs。

    在 seafile 服务器上安装

    • 对于 Ubuntu 16.04
      sudo apt install libxmlsec1
      sudo pip install cryptography djangosaml2

    配置seafile

    添加以下配置到 seahub_settings.py

    1. from os import path
    2. import saml2
    3. import saml2.saml
    5. CERTS_DIR = '<seafile-install-path>/seahub-data/certs'
    6. SP_SERVICE_URL = 'https://demo.seafile.com'
    7. XMLSEC_BINARY = '/usr/local/bin/xmlsec1'
    8. ATTRIBUTE_MAP_DIR = '<seafile-install-path>/seafile-server-latest/seahub-extra/seahub_extra/adfs_auth/attribute-maps'
    9. SAML_ATTRIBUTE_MAPPING = {
    10.     'DisplayName': ('display_name', ),
    11.     'ContactEmail': ('contact_email', ),
    12.     'Deparment': ('department', ),
    13.     'Telephone': ('telephone', ),
    14. }
    16. ENABLE_ADFS_LOGIN = True
    17. EXTRA_AUTHENTICATION_BACKENDS = (
    18.     'seahub_extra.adfs_auth.backends.Saml2Backend',
    19. )
    20. SAML_USE_NAME_ID_AS_USERNAME = True
    21. LOGIN_REDIRECT_URL = '/saml2/complete/'
    22. SAML_CONFIG = {
    23.     # full path to the xmlsec1 binary programm
    24.     'xmlsec_binary': XMLSEC_BINARY,
    26.     'allow_unknown_attributes': True,
    28.     # your entity id, usually your subdomain plus the url to the metadata view
    29.     'entityid': SP_SERVICE_URL + '/saml2/metadata/',
    31.     # directory with attribute mapping
    32.     'attribute_map_dir': ATTRIBUTE_MAP_DIR,
    34.     # this block states what services we provide
    35.     'service': {
    36.         # we are just a lonely SP
    37.         'sp' : {
    38.             "allow_unsolicited": True,
    39.             'name': 'Federated Seafile Service',
    40.             'name_id_format': saml2.saml.NAMEID_FORMAT_EMAILADDRESS,
    41.             'endpoints': {
    42.                 # url and binding to the assetion consumer service view
    43.                 # do not change the binding or service name
    44.                 'assertion_consumer_service': [
    45.                     (SP_SERVICE_URL + '/saml2/acs/',
    46.                      saml2.BINDING_HTTP_POST),
    47.                 ],
    48.                 # url and binding to the single logout service view
    49.                 # do not change the binding or service name
    50.                 'single_logout_service': [
    51.                     (SP_SERVICE_URL + '/saml2/ls/',
    52.                      saml2.BINDING_HTTP_REDIRECT),
    53.                     (SP_SERVICE_URL + '/saml2/ls/post',
    54.                      saml2.BINDING_HTTP_POST),
    55.                 ],
    56.             },
    58.             # attributes that this project need to identify a user
    59.             'required_attributes': ["uid"],
    61.             # attributes that may be useful to have but not required
    62.             'optional_attributes': ['eduPersonAffiliation', ],
    64.             # in this section the list of IdPs we talk to are defined
    65.             'idp': {
    66.                 # we do not need a WAYF service since there is
    67.                 # only an IdP defined here. This IdP should be
    68.                 # present in our metadata
    70.                 # the keys of this dictionary are entity ids
    71.                 'https://adfs-server.adfs.com/federationmetadata/2007-06/federationmetadata.xml': {
    72.                     'single_sign_on_service': {
    73.                         saml2.BINDING_HTTP_REDIRECT: 'https://adfs-server.adfs.com/adfs/ls/idpinitiatedsignon.aspx',
    74.                     },
    75.                   'single_logout_service': {
    76.                       saml2.BINDING_HTTP_REDIRECT: 'https://adfs-server.adfs.com/adfs/ls/?wa=wsignout1.0',
    77.                   },
    78.                 },
    79.             },
    80.         },
    81.     },
    83.     # where the remote metadata is stored
    84.     'metadata': {
    85.         'local': [path.join(CERTS_DIR, 'idp_federation_metadata.xml')],
    86.     },
    88.     # set to 1 to output debugging information
    89.     'debug': 1,
    91.     # Signing
    92.     'key_file': '', 
    93.     'cert_file': path.join(CERTS_DIR, 'certs/idp.crt'),  # from IdP
    95.     # Encryption
    96.     'encryption_keypairs': [{
    97.         'key_file': path.join(CERTS_DIR, 'certs/sp.key'),  # private part
    98.         'cert_file': path.join(CERTS_DIR, 'certs/sp.crt'),  # public part
    99.     }],
    101.     'valid_for': 24,  # how long is our metadata valid
    102. }

    配置 ADFS 服务

    • 添加 Relying Party Trust

    Relying Party Trust 是 Seafile 和 ADFS 之间的连接。

    • 登陆到 ADFS 服务器并打开 ADFS 管理界面。

    • 双击 Trust Relationships，然后右键 Relying Party Trusts，选择 Add Relying Party Trust…。

    • 选择 Import data about the relying party published online or one a local network，在 Federation metadata address 中输入 https://demo.seafile.com/saml2/metadata/

    • 然后 Next 直到 Finish。

    • 添加 Relying Party Claim Rules

    Relying Party Claim Rules 是用于windows域中seafile和用户的通信。

    Important：在windows域中的用户必须要设置了 E-mail 值。

    • 右键点击 relying party trust 并且选择 Edit Claim Rules…。

    • 在 Issuance Transform Rules Add Rules…

    • 选择 Send LDAP Attribute as Claims 作为申请规则模版来用。

    • 给 claim 一个名称，例如：LDAP Attributes。

    • 将 Attribute Store 设置为 Active Directory，LDAP Attribute 设置为 E-Mail-Addresses,Outgoing Claim Type 设置为 E-mail Address。

    • 选择 Finish。

    • 再次单击 Add Rule…。

    • 选择 Transform an Incoming Claim。

    • 给它一个名字例如：Email to Name ID。

    • 输入的 claim 类型应该是 E-mail Address (它必须跟 rule #1 中的Outgoing Claim Type 相匹配)。

    • Outgoing claim 的类型是 Name ID (这是seafile配置策略中的要求 'name_id_format': saml2.saml.NAMEID_FORMAT_EMAILADDRESS)。

    • Outgoing name ID 格式为 Email。

    • 通过所有的 claim 的值 并且单击 Finish。

    测试

    重启服务后，你可以打开一个web浏览器并且输入 https://demo.seafile.com,在登陆对话框中应该有一个 adfs 按钮。单击该按钮将重定向到 ADFS 服务器(adfs-server.adfs.com),如果用户名密码正确，你将被重定向到seafile主页。

    对于descktop客户端，只需要在"Add a new account"窗口点击"Shibboleth Login"，输入 https://demo.seafile.com,单击 OK 按钮将会打开一个新的窗口显示ADFS服务的登录页面，如果用户名和密码正确，窗口将关闭并显示seafile资料库面板。

    • https://support.zendesk.com/hc/en-us/articles/203663886-Setting-up-single-sign-on-using-Active-Directory-with-ADFS-and-SAML-Plus-and-Enterprise-

    • http://wiki.servicenow.com/?title=Configuring_ADFS_2.0_to_Communicate_with_SAML_2.0#gsc.tab=0

    • https://github.com/rohe/pysaml2/blob/master/src/saml2/saml.py

    原文: https://manual-cn.seafile.com/deploy_pro/adfs.html