Einrichtung von SAML mit ADFS

[Audi]

Hallo zusammen,

ich versuche mich gerade an der Einrichtung von SAML auf dem Domino 9.0 in Verbindung mit dem MS ADFS 2.0 Server.
Ich bin dazu an Hand der Cookbooks aus dem 9er Beta Forum vorgegangen.

Ich habe im Moment noch das Problem, dass Domino seitig schon der richtige User ankommt, aber die Entschlüsselung fehlschlägt:

SAMLDecryptAssertionElement> Decryption with the key specified in the IdPcat doc failed - SECUnwrapKey : The encrypted data has been modified or the wrong key was used to decrypt it

Bei der Konfiguration der Verbindung zum ADFS Server in der idpcat.nsf wird ja auch ein Zertifikat generiert und diese idp.xml erzeugt, die ich abspeichern soll. Mir fehl irgendwo der Part, was anschließend mit der idp.xml gemacht werden soll, muss die Datei oder das Zertifkat auf dem ADFS Server noch importiert werden ?

Hat denn schon mal jemand SAML mit dem Domino 9.0 und ADFS 2.0 aktiviert bekommen ?

Im Voraus schon einmal vielen Dank für Eure Mühen.

[stoeps]

Hi,
ich habs zwar noch nicht fertig konfiguriert, aber importierst du nicht die XML vom ADFS im IDP?

siehe http://www-10.lotus.com/ldd/ndsebetaforum.nsf/topicThread.xsp?action=openDocument&documentId=9FF5568A9ECFFB1A85257AD3006DB084 Punkt 22 ff

[Audi]

Hallo Christoph,

ja, die FederationMetadata.xml wird auf dem ADFS Server generiert und dann für die Einrichtung der IDP Konfiguration in der idpcat.nsf importiert.
In dieser Konfiguration wird ja dann ein Zertifikat für die Verschlüsselung erzeugt und diese idp.xml generiert,
Mich macht nur die Aussage "... Domino idp.xml metadata file before importing the file into the ADFS IdP. " in dieser Technote stutzig und daher
meine Frage, ob diese dann im ADFS noch importiert werden muss und wenn ja, wie und wo:


http://www-01.ibm.com/support/docview.wss?uid=swg21628872

Ich habe jetzt einen Stand, dass der Benutzer über den ADFS Server authentifziert wird, es wird auch der richtige Notes Benutzer herangezogen und ein LTPAToken für ihn ausgestellt, doch im Browser bekomme ich die Fehlermeldung "There was a problem accessing the site. Try to browse to the site again.
If the problem persists, contact the administrator of this site and provide the reference number to identify the problem.
Reference number: fdf00d51-0729-431c-aeab-e3252c9f9285"

Vielen Dank.

[Tweeks]

Hallo,
da wir uns gestern auch mal an SAML versucht haben und exakt an der selben Stelle scheitern, wollte ich das Thema noch einmal "aufwärmen".

Muss man am ADFS-Server noch etwas importieren? Und wenn ja, wo?

Hat überhaupt schon jemand SAML im Einsatz?

MfG
Matthias

[Daniel_BOO]

Ich versuche dies auch gerade in einer Testumgebung nur ich komme irrgendwie nicht weiter und ich kann leider nicht sagen woran es liegt.
habe Win 2012 R2 habe dort auch ADFS und auf diesem server läuft auch der Domino 9.01 SRV ich habe mich anhand der "Anleitung" http://www.admincamp.de/konferenz/ac2012.nsf/bc36cf8d512621e0c1256f870073e627/35536a69dc2817edc125794a0075b3b9/$FILE/T2S5-SingleSignOn.pdf

..versucht aber bislang ohne Erfolg. Also ich bin ein frischling auch dem gebiet LoNo und bin froh wenn ich einen Domino Server einrichten kann so das User sich mails schicken können.

Evtl hat ja jemand von euch eine kleine Doku gemacht wie man SAML Konfiguriert und würde diese zur Verfügung stellen.

Ich würde mich sehr über eure hilfe freuen.

LG Daniel

[Daniel_BOO]

Okay, bin etwas weiter bekommen aber ich habe noch ein Fehler siehe Bild.
...Und schade das keiner antwortet aber die hoffnung stirbt zuletzt....



http://picload.org/view/liwpida/fehler.png.html

[Devilita]

Ich weiss, dass das Topic schon sehr alt ist, aber um dennoch anderen Admins die nervtötende Zeit zu sparen und weil ich bei meiner verzweifelten Suche auch hergefunden habe, hier ein kleiner Tipp:

Ich habe ebenfalls nach anscheinend erfolgreicher Idpcat-Erstellung und SAML-Einrichtung nach Login auf der Konsole folgenden Fehler gesehen:

SECCheckAndParseSAMLResponse failed with error: The encrypted data has been modified or the wrong key was used to decrypt it

Wenn man's weiss, eigentlich ganz einfach: Domino erwartet sich den IdPkey ganz ohne Leerstellen/-zeilen oder überhaupt irgendeiner Formattierung. Also rein in den Idpcat, Schlüssel bearbeiten, Formattierung raus, Server neustarten - alles geht!

LG,
Susanne