Справка ип: Получить выписку из ЕГРЮЛ, ЕГРИП или справку об отсутствии статуса ИП можно из дома или офиса | ФНС России

Как получить справку об отсутствии ИП через Госуслуги: пошаговая инструкция со скриншотами

Если раньше наличие или отсутствие индивидуального предпринимательства можно было подтвердить, только посетив налоговые службы, то теперь справка об отсутствии ИП может быть получена прямо через интернет – с помощью портала Госуслуг. Рассмотрим, какие преимущества и недостатки есть у этого метода, и как получить документ.

Плюсы и минусы получения справки через портал Госуслуги

Не нужно тратить время на посещение налоговой, а заказать справку онлайн

К основным преимуществам использования портала Госуслуг можно отнести:

• Возможность оформления документа через интернет.
• Не нужно тратить время на посещение налоговой.
• На сайте размещена подробная информация о том, как получить услуги, и что для этого понадобится.

К минусам можно отнести разве что тот факт, что портал Госуслуг выступает посредником, а основное заявление заполняется на сайте ФНС.

Пошаговая инструкция, как заказать справку об отсутствии ИП через сайт Госуслуги

Кто зарегистрирован на портале Госуслуг может легко и быстро получить услугу

Чтобы получить услугу – нужно предварительно авторизоваться в системе – сделать это можно, используя данные СНИЛС, электронную почту, либо контактный мобильный телефон. При повторном посещении сайта система будет запрашивать у пользователя только его пароль, а логин (почта, телефон или СНИЛС) будет оставаться прежним. После того, как данные будут введены, нужно нажать на клавишу «Войти».

В открывшемся окне в верхнем меню выбираем раздел «Услуги». Здесь будет перечень всех основных услуг, которые предоставляются через Государственный портал.

Во вновь открывшемся окне выбираем раздел «Налоги и финансы», а затем нажимаем на ссылку «Еще». Это позволит открыть все услуги в данном разделе.

Нас интересует самая последняя услуга – «Предоставление сведений из ЕГРЮЛ». Чтобы просмотреть информацию, нажимаем на нее.

Здесь можно выбрать два варианта документа – это «Предоставление документа (документов), содержащегося в ЕГРЮЛ/ЕГРИП» или последняя строка – «Предоставление содержащихся в ЕГРЮЛ/ЕГРИП сведений о конкретном юридическом лице/индивидуальном предпринимателе». Нажимаем на нужную строку.

В открывшемся окне будет подробное описание услуги, начиная от того, как она оказывается, и заканчивая документами, которые понадобятся гражданину. Система перенаправляет нас на официальный сайт ФНС.

Здесь нужно будет также авторизоваться, после чего система предложит подать запрос на выписку. Нажимаем на активную клавишу.

Для того, чтобы сформировать запрос, индивидуальному предпринимателю понадобится не так уж и много – всего лишь ввести ИНН/ОГРНИП, а затем ввести цифры с картинки и нажать на клавишу «Сформировать запрос».

В дальнейшем можно нажать на стрелку «К списку запросов», чтобы найти интересующий гражданина направленный запрос – в том числе и его зарегистрированный номер.

Готовый результат придет пользователю на электронную почту. А информация о том, что услуга оказана, будет продублирована в личном кабинете на сайте Госуслуг и на сайте Федеральной Налоговой Службы. При этом заявление регистрируется в течение одного дня, а сама услуга оказывается в течение пяти рабочих дней.

Возможные трудности

Справка по такой форме придет на электронную почту, если все сделано правильно

Основная сложность заключается в том, что для того, чтобы готовая справка была действительна и имела такую же силу, как и справка, полученная в Федеральной Налоговой Службе, понадобится действующая электронная подпись, которая не бесплатная.

Также при регистрации на сайте Портала Госуслуг и на сайте ФНС некоторые граждане указывают неактуальный или не существующий адрес электронной почты. В результате справка не приходит на email. Вот почему так важно указывать только настоящие данные и почту, которой вы действительно пользуетесь.

Чтобы справка, пришедшая на электронную почту была действительна, понадобится действующая электронная подпись

Как видите, получение услуги через Портал Государственных услуг не составит большого труда. Как результат, пользователь сможет сэкономить время и получить достоверную информацию прямо из ФНС. Правда, для этого понадобится зарегистрироваться не только на сайте Госуслуг, но и на сайте налоговой. Кроме того, понадобится действующая электронная подпись, без которой справку, конечно, выдадут, но она будет недействительна.

Справка о неполучение единовременного пособия от ИП

]]>

Подборка наиболее важных документов по запросу Справка о неполучение единовременного пособия от ИП (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).

Формы документов: Справка о неполучение единовременного пособия от ИП

Судебная практика: Справка о неполучение единовременного пособия от ИП

Открыть документ в вашей системе КонсультантПлюс:
Определение Верховного Суда РФ от 01.09.2015 N 308-КГ15-10027 по делу N А63-6232/2014
Требование: О пересмотре судебных актов по делу о признании незаконными решений государственного органа.
Решение: В передаче кассационной жалобы для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации отказано, поскольку оснований для пересмотра состоявшихся судебных актов по доводам, изложенным в кассационной жалобе, не установлено.Оценив представленные в материалы дела доказательства и установив, что работником Матурой Е.П. для получения единовременного пособия при рождении ребенка, а также ежемесячного пособия по уходу за ребенком представлены все необходимые документы: заявление, справка о рождении ребенка, заявления на отпуск по уходу за ребенком до полутора лет, о назначении и выплате пособия по уходу за ребенком до полутора лет, приказ на представление отпуска по уходу за ребенком до полутора лет, свидетельство о рождении ребенка, в том числе справки от второго родителя — отца ребенка, являющегося индивидуальным предпринимателем, о неполучении им единовременного пособия при рождении ребенка и ежемесячного пособия по уходу за ребенком, заверенные его печатью и подписью, суды пришли к выводу о правомерности произведенных обществом расходов по выплате работнику Матуре Е. П. спорных пособий.

Статьи, комментарии, ответы на вопросы: Справка о неполучение единовременного пособия от ИП

Открыть документ в вашей системе КонсультантПлюс:
«Больничные и иные пособия по социальному страхованию»
(6-е издание, переработанное и дополненное)
(Семенихин В.В.)
(«ГроссМедиа», «РОСБУХ», 2019)з) копии документов, подтверждающих статус, а также справку из территориального органа ФСС РФ об отсутствии регистрации в территориальных органах ФСС РФ в качестве страхователя и о неполучении единовременного пособия при рождении ребенка за счет средств обязательного социального страхования для физических лиц, осуществляющих деятельность в качестве индивидуальных предпринимателей, адвокатов, нотариусов, иных физических лиц, профессиональная деятельность которых в соответствии с федеральными законами подлежит государственной регистрации и (или) лицензированию, — в случае, если назначение и выплата им единовременного пособия при рождении ребенка осуществляются органами социальной защиты населения;

Открыть документ в вашей системе КонсультантПлюс:
«Все о больничных и детских пособиях: полное практическое руководство»
(4-е издание, переработанное и дополненное)
(Феоктистов И. А.)
(под ред. Н.А. Эделевой)
(«ГроссМедиа», «РОСБУХ», 2017)з) копии документов, подтверждающих статус, а также справка из территориального органа Фонда социального страхования Российской Федерации об отсутствии регистрации в территориальных органах Фонда социального страхования Российской Федерации в качестве страхователя и о неполучении единовременного пособия при рождении ребенка за счет средств обязательного социального страхования для физических лиц, осуществляющих деятельность в качестве индивидуальных предпринимателей, адвокатов, нотариусов, иных физических лиц, профессиональная деятельность которых в соответствии с федеральными законами подлежит государственной регистрации и (или) лицензированию, — в случае, если назначение и выплата им единовременного пособия при рождении ребенка осуществляются органами социальной защиты населения;

Нормативные акты: Справка о неполучение единовременного пособия от ИП

Приказ Минтруда России от 29. 09.2020 N 668н
(ред. от 15.02.2021)
«Об утверждении Порядка и условий назначения и выплаты государственных пособий гражданам, имеющим детей»
(Зарегистрировано в Минюсте России 23.12.2020 N 61741)з) копии документов, подтверждающих статус, а также справка из территориального органа Фонда социального страхования Российской Федерации об отсутствии регистрации в территориальных органах Фонда социального страхования Российской Федерации в качестве страхователя и о неполучении единовременного пособия при рождении ребенка за счет средств обязательного социального страхования для физических лиц, осуществляющих деятельность в качестве индивидуальных предпринимателей, адвокатов, нотариусов, иных физических лиц, профессиональная деятельность которых в соответствии с федеральными законами подлежит государственной регистрации и (или) лицензированию, — в случае, если назначение и выплата им единовременного пособия при рождении ребенка осуществляются органами социальной защиты населения;

Приказ Минздравсоцразвития России от 23. 12.2009 N 1012н
(ред. от 24.09.2018)
«Об утверждении Порядка и условий назначения и выплаты государственных пособий гражданам, имеющим детей»
(Зарегистрировано в Минюсте России 31.12.2009 N 15909)з) копии документов, подтверждающих статус, а также справка из территориального органа Фонда социального страхования Российской Федерации об отсутствии регистрации в территориальных органах Фонда социального страхования Российской Федерации в качестве страхователя и о неполучении единовременного пособия при рождении ребенка за счет средств обязательного социального страхования для физических лиц, осуществляющих деятельность в качестве индивидуальных предпринимателей, адвокатов, нотариусов, иных физических лиц, профессиональная деятельность которых в соответствии с федеральными законами подлежит государственной регистрации и (или) лицензированию, — в случае, если назначение и выплата им единовременного пособия при рождении ребенка осуществляются органами социальной защиты населения;

Перечень необходимых документов предоставляемых в ФСС для получения пособий.

— ГОСУДАРСТВЕННОЕ УЧРЕЖДЕНИЕ

Необходимые документы для сдачи пособия по временной
нетрудоспособности

·         Опись (форма на сайте)

·         Заявление о выплате
пособия о временной нетрудоспособности (форма на сайте)

·         Листок
нетрудоспособности

·         Справка-расчет пособия по
временной нетрудоспособности (за 2 предшествующих года)

·         Справка по форме 182-Н за
расчетный период

·         Копия трудовой книжки (все
страницы заверенные работодателем)

·         Доверенность (форма на
сайте)

Необходимые документы для сдачи пособия –Единовременное на рождение
ребенка

·         Опись (форма на сайте)

·         Заявление о выплате
пособия (форма на сайте)

·         Справка ф-24

·         Справка от другого
родителя с места работы о неполучении пособия. Если другой родитель не работает
-то справка с УСЗН о неполучении данного пособия; Если ИП-то справка с УСЗН И
ФСС

·         Приказ о выплате
пособия

·         Копия трудовой книжки
застрахованного ( все страницы заверенные работодателем)

·         Доверенность (форма на
сайте)

Необходимые документы для сдачи до 1,5 лет по уходу за
ребенком

·         Опись (форма на сайте)

·         Заявление о выплате
пособия (форма на сайте)

·         Заявление о предоставлении
отпуска

·         Справка от другого
родителя с места работы что пособие не получал , если не работает то с УСЗН и
копия трудовой книжки с записью о увольнении (заверенная работодателем ) Если
родитель ИП справка с УСЗН о неполучении пособия + справка ФСС

·         Копия трудовой книжки
застрахованного ( все страницы заверенные работодателем)

·         Копия трудового договора
застрахованного ( с указанием ставки) все страницы заверенные работодателем

·         Справка по форме 182-Н за
расчетный период

·         Справка-расчет

·         Приказ до 1,5 лет

·         Доверенность (форма на
сайте)

Необходимые документы для сдачи пособия по беременности и
родам

·         Опись (форма на сайте)

·         Заявление о выплате
пособия (форма на сайте)

·         Листок
нетрудоспособности

·         Справка-расчет

·         Копия трудовой книжки
застрахованного (все страницы заверенные работодателем)

·         Копия трудового договора
застрахованного с указанием ставки (все страницы заверенные работодателем)

·        Необходимые документы
для сдачи пособия на погребение

·         Заявление

·         Справка о смерти (форма
33) 

·         Св-во о смерти (оригинал и
копия заверенная)

·         Трудовая книжка
умершего

·         Информационное письмо

·         Платежное поручение или
расходник (оригинал и копия) (если организация)

·         Если родственник – паспорт
и  копия паспорта умершего

·         Реквизиты организации на
возмещение

Справка ПФР для ИП |

Справка ПФР для ИП

Зачем нужна такая справка, что нужно, чтобы ее получить?

Справка Пенсионного фонда России (ПФР) может быть нужна индивидуальным предпринимателям довольно часто. Это, во-первых, справка о том, что у них нет долгов перед пенсионным фондом, так как каждый добропорядочный ИП должен в обязательном порядке осуществлять туда регулярные взносы. Если у предпринимателя есть задолженность перед Фондом, то это не дает ему осуществить многие операции, которые могли бы способствовать развитию бизнеса. Именно поэтому справку из Фонда могут затребовать в самых разных ситуациях.

Справка ПФР для юридических лиц. Справки ИФНС, ФССП. Справка о резидентстве. И ещё много полезных справок.

Чтобы ее получить, предпринимателю нужно собрать небольшой пакет документов, среди которых – выписка из ЕГРЮЛ, а также копия свидетельств о регистрации и о присвоении налогового номера. Документы обязательно должны быть составлены по всей форме, заверены подписью самого предпринимателя, а также печатью, если она зарегистрирована. Как правило, получение такой справки не требует много времени, важно только отнестись к этому со всей серьезностью и обратить особое внимание на то, чтобы в отчетностях были правильно указаны все данные. В этом случае можно не сомневаться, что получение справки не станет для индивидуального предпринимателя слишком сложным делом. К тому же, наша компания SK Finance может оказать помощь в том, чтобы такой документ был получен как можно быстрее.

Для получения справки об отсутствии задолженности в Пенсионном Фонде РФ по гор. Москве для ИП необходимы следующие документы:

• Выписка ЕГРИП
• Св-во ИНН
• СНИЛС
• Копия паспорта
• Копия отчетности в ПФР

Срок  1 рабочий день

Для получения справки с долгами (для ликвидации ИП с долгами)  в Пенсионном Фонде РФ по гор. Москве для ИП необходимы следующие документы:

• Выписка ЕГРИП
• Св-во ИНН
• СНИЛС
• Копия паспорта

Срок  1 рабочий день

Специалисты компании SK Finance получат для Вас любую справку из ПФР в кратчайшие сроки.

Документы и справки для получения кредита ИП

Финансирование бизнеса »
Оформление кредита для бизнеса »

В целом документы, которые должен представить индивидуальный предприниматель для получения кредита, аналогичны документам, которые подготавливаются юридическим лицом (ООО, ЗАО).

В то же время есть и некоторые отличия. Отметим, что дело осложняется тем, что ИП обычно не ведет бухгалтерию. Соответственно, не полученную из бухгалтерской отчетности информацию банку требуется получить другим способом, из других документов.

Перечень документов для рассмотрения заявки на кредит для ИП

Как правило, предпринимателя просят подготовить следующие основные бумаги:

• Заявление на внутреннем бланке.
• Копия паспорта.
• Свидетельство о государственной регистрации. 
• Свидетельство о постановке на учет в налоговом органе.
• Выписка из ЕГРИП (Единого государственного реестра).
• Свидетельство о регистрации в фонде социального страхования и ПФ.

Перечисленные выше бумаги требуются практически всегда — они подтверждают, что такой-то Иванов Иван Иванович действительно ИП и гражданин РФ.

Документы, касающиеся собственно бизнеса и оборота:

• Различные договора, накладные, регламентирующие основную деятельность.
• Лицензии и разрешения на особые виды деятельности (если таковые ведутся).
• Копии налоговых деклараций. Обычно требуется заверение их штампом налоговой.
• Копии платежных поручений, по которым проводились платежи в налоговую службу.
• Копия кассовой книги.

В случае предоставления залога требуется подтвердить обладание залоговым имуществом и дать сведения о его стоимости. Варианты:

• Свидетельство о собственности на землю, недвижимость.
• Договор приобретения спецтехники, оборудования.
• Технические паспорта, гарантийные талоны.
• Накладные, счета-фактуры (если залогом выступает товар в обороте).

Необходимые для получения кредита справки:

• Справка об отсутствии обременения залогового обеспечения (страховка от возможного предъявления своих прав на имущество третьими лицами).
• Из банка, где ведется расчетный счет: справка об обороте (выписка), о ведении картотеки номер 2 или ее отсутствии, о ссудной задолженности.
• Из налоговой: справка о состоянии задолженности перед государством и внебюджетными фондами и справка об открытых расчетных счетах.

Подчеркнем, что это примерный перечень. Некоторые банки могут затребовать и дополнительные документы, другие, напротив, стремятся максимально упростить процедуру и делают конечный пакет сравнительно небольшим.

Хорошей новостью является также тот факт, что банки далеко не всегда требуют все бумаги сразу. Сначала проводится проверка заемщика на кредитную историю, сам факт осуществления бизнеса и длительность бизнеса (это одна часть пакета) и только потом анализируется оборот и финансовые показатели (это вторая часть).

Соответственно, если вы работаете с адекватным банком, нет оснований для опасений «я соберу кучу бумажек, а потом получу отказ, потратив много времени и сил».

Если кредит берется на развитие бизнеса или на открытие нового бизнеса (а не на текущую деятельность), от вас попросят предоставить и бизнес-план.

Обратите внимание: часть документов нужно заказывать в налоговой службе или других государственных органах заранее. Срок подготовки нужной вам справки может составлять 2-3 недели, так что для ускорения рассмотрения вашей заявки в банке не лишне будет позаботиться о всех формальностях как можно раньше.

как разобраться в выписке ٩(͡๏̯͡๏)۶ — Эльба

Для сверки с налоговой понадобятся два документа:

• Справка о состоянии расчётов показывает только долг или переплату по налогам и взносам на конкретную дату. Но чтобы разобраться, откуда они появились, понадобится другой документ — выписка операций по расчётам с бюджетом.
• Выписка операций по расчётам с бюджетом показывает историю платежей и начисленные налоги и взносы за выбранный период. По выписке вы поймёте, когда возникли долг или переплата, и выясните причину расхождений.

Вы можете заказать их через Эльбу — ходить в налоговую не нужно.

Сдавайте отчётность в три клика

Эльба рассчитает налог и подготовит отчётность для бизнеса на УСН и патенте. А ещё поможет cформировать счета, акты и накладные.

Справка о состоянии расчётов

По справке о состоянии расчётов вы проверите, есть ли вообще долг или переплата. 

В первом столбце указано название налога, по которому вы сверяетесь. Информация о долгах и переплатах содержится в столбцах 4 — по налогу, 6 —по пеням, 8 — по штрафам:

• 0 — никто никому не должен, можно вздохнуть спокойно.
• Положительная сумма — у вас переплата.
• Сумма с минусом — вы должны налоговой.

Почему в справке возникает переплата?

1. Вы действительно переплатили и теперь можете вернуть эти деньги из налоговой или зачесть как будущие платежи.
2. Вы заказали справку до подачи годового отчёта по УСН. В этот момент налоговая ещё не знает, сколько вы должны заплатить. Она поймёт это из декларации за год. До сдачи декларации ежеквартальные авансы по УСН числятся как переплата, а потом налоговая начисляет налог и переплата пропадает. Поэтому переплата в размере авансов по УСН в течение года — ещё не повод бежать в налоговую за возвратом денег.

Если вы увидели в справке непонятные долги или переплаты, понадобится выписка операций по расчётам с бюджетом, чтобы выяснить причину их возникновения.

Выписка операций по расчётам с бюджетом

В отличие от справки выписка показывает не ситуацию на конкретную дату, а историю ваших отношений с налоговой за период. Например, с начала года до сегодняшнего дня.

Как увеличивались или уменьшались долги/переплаты видно в 13 столбце. Положительное число — это переплата, отрицательное — задолженность.

В 13 столбце вы видите долг или переплату по конкретному платежу — только налогу, пене или штрафу. В 14 — общий итог по всем платежам. Ориентироваться лучше именно на 13. 

Теперь разберёмся, как эти переплаты и долги формируются.

Данные в 10 столбце идут вам «в минус» — это начисления налоговой. А в 11 наоборот «в плюс» — это ваши оплаты. Строчка за строчкой они формируют итоговую сумму в 13 столбце.

! Если у вас есть долг, первым делом, проверьте, все ли ваши платежи содержатся в выписке. Обнаружили, что платежей не хватает, хотя всё платили вовремя, — берите платёжки об уплате налога и несите в налоговую, чтобы разобраться.

Пример выписки по налогу УСН

Это выписка по налогу УСН. На начало года у предпринимателя была переплата, потом:

• В апреле он платит 6 996₽, итого переплата — 71 805₽. 
• 3 мая подаёт декларацию и в выписке появляются начисления, которые уменьшают переплату: 71 805 – 4 017 – 28 062 – 8 190 = 31 536₽. 
• Появляется операция с описанием «уменьшено по декларации». Это значит, что основные расходы предприниматель понёс в конце года, поэтому в течение года ему начислили слишком много налога. Теперь его нужно уменьшить, поэтому в выписке появляется «обратное» начисление на 10 995₽. Тот нечастый случай, когда декларация не добавляет обязательств, а наоборот.
• В июле он платит авансовый платёж за полугодие 2018 года и переплата на момент запроса выписки у него — 52 603₽.

Пример выписки по страховым взносам за сотрудников

Это выписка по страховым взносам за сотрудников на обязательное пенсионное страхование. На начало года у предпринимателя переплата на 3 497,14 ₽. Это взносы, которые он заплатил в 2017 году с зарплаты октября и ноября. Сумма стоит и в 11, и в 13 колонках. Потом:

• 9 января он платит 1 697,15 ₽ с декабрьской зарплаты, переплата увеличивается до  5 194,29 ₽ (3 497,14 + 1 697,15). Эту цифру мы видим в 13 столбце.
• 10 января он подаёт расчёт по страховым взносам (РСВ) и в выписке появляются начисления, которые уменьшают переплату до нуля: 5 194, 29 — 1 800 — 1 697,14 — 1 697,15 = 0. В 13 столбце вы тоже увидите ноль. 
• Предприниматель заплатил за 4 квартал 2017 года ровно столько, сколько отразил в декларации. На 15 января у него нет ни долгов, ни переплат. В идеале так и должно быть. 

Справки о несудимости для ИП (индивидуальных предпринимателей)

                                    Утвержден
                                    постановлением Правительства
                                    Российской Федерации
                                    от 16 апреля 2011 г. N 285
                                    (в редакции постановления
                                    Правительства Российской Федерации
                                    от 18 сентября 2018 г. N 1103)
                            
                                Перечень
видов предпринимательской деятельности в сфере образования, воспитания, развития
несовершеннолетних, организации их отдыха и оздоровления, медицинского обеспечения,
социальной защиты и социального обслуживания, детско-юношеского спорта, культуры
и искусства с участием несовершеннолетних, при осуществлении которых физическим лицом,
регистрируемым в качестве индивидуального предпринимателя, представляется справка
в регистрирующий орган о наличии (об отсутствии) судимости и (или) факта уголовного
преследования либо прекращении уголовного преследования по реабилитирующим основаниям

-------------------------------------------------------------------------
         Виды предпринимательской деятельности        |     Код по
                                                      | Общероссийскому
                                                      | классификатору
                                                      |      видов
                                                      |  экономической
                                                      |  деятельности
                                                      |   ОК 029-2014 
                                                      |  (КДЕС Ред. 2)
-------------------------------------------------------------------------
Деятельность по предоставлению мест для
краткосрочного проживания                                   55.20

Деятельность по предоставлению прочих мест
для временного проживания                                   55.90

Производство кинофильмов, видеофильмов
и телевизионных программ                                    59.11

Деятельность по распространению кинофильмов,
видеофильмов и телевизионных программ                       59.13

Деятельность в области демонстрации кинофильмов             59.14

Образование дошкольное                                      85.11

Образование начальное общее                                 85.12

Образование основное общее                                  85.13

Образование среднее общее                                   85.14

Образование профессиональное среднее                        85.21

Образование высшее                                          85.22

Образование высшее - бакалавриат                            85.22.1

Образование высшее - специалитет                            85.22.2

Образование высшее - магистратура                           85.22.3

Образование дополнительное детей и взрослых                 85.41

Образование в области спорта и отдыха                       85.41.1

Образование в области культуры                              85.41.2

Образование дополнительное детей и взрослых
прочее, не включенное в другие группировки                  85.41.9

Деятельность больничных организаций                         86.10

Медицинская и стоматологическая практика                    86.2

Общая врачебная практика                                    86.21

Специальная врачебная практика                              86.22

Стоматологическая практика                                  86.23

Деятельность санаторно-курортных организаций                86.90.4

Деятельность в области медицины прочая,
не включенная в другие группировки                          86.90.9

Деятельность по уходу с обеспечением проживания             87

Деятельность по медицинскому уходу
с обеспечением проживания                                   87.1

Деятельность по медицинскому уходу
с обеспечением проживания                                   87.10

Деятельность по оказанию помощи на дому для
лиц с ограниченными возможностями развития,
душевнобольным и наркозависимым                             87.2

Деятельность по оказанию помощи на дому для лиц
с ограниченными возможностями развития,
душевнобольным и наркозависимым                             87.20

Деятельность по уходу за престарелыми и инвалидами
с обеспечением проживания                                   87.3

Деятельность по уходу за престарелыми и инвалидами
с обеспечением проживания                                   87.30

Деятельность по уходу с обеспечением проживания
прочая                                                      87.9

Деятельность по уходу с обеспечением проживания
прочая                                                      87.90

Предоставление социальных услуг
без обеспечения проживания                                  88

Предоставление социальных услуг без обеспечения
проживания престарелым и инвалидам                          88.1

Предоставление социальных услуг без обеспечения
проживания престарелым и инвалидам                          88.10

Предоставление прочих социальных услуг
без обеспечения проживания                                  88.9

Предоставление услуг по дневному уходу за детьми            88.91

Предоставлению прочих социальных услуг
без обеспечения проживания, не включенных
в другие группировки                                        88.99

Деятельность творческая, деятельность в области
искусства и организации развлечений                         90.0

Деятельность в области исполнительских искусств             90.01

Деятельность вспомогательная, связанная
с исполнительскими искусствами                              90.02

Деятельность в области художественного творчества           90.03

Деятельность учреждений культуры и искусства                90.04

Деятельность концертных залов, театров,
оперных зданий, мюзик-холлов, включая услуги
билетных касс                                               90.04.1

Деятельность многоцелевых центров и подобных
заведений с преобладанием культурного обслуживания          90.04.2

Деятельность учреждений клубного типа: клубов,
дворцов и домов культуры, домов народного
творчества                                                  90.04.3

Деятельность библиотек, архивов, музеев и прочих
объектов культуры                                           91.0

Деятельность библиотек и архивов                            91.01

Деятельность музеев                                         91.02

Деятельность по охране исторических мест и зданий,
памятников культуры                                         91.03

Деятельность ботанических садов, зоопарков,
государственных природных заповедников
и национальных парков                                       91.04

Деятельность зоопарков                                      91.04.1

Деятельность государственных природных
заповедников (в том числе биосферных)                       91.04.2

Деятельность национальных парков                            91.04.3

Деятельность природных парков                               91.04.4

Деятельность природных заказников                           91.04.05

Деятельность дендрологических парков
и ботанических садов                                        91.04.6

Деятельность в области спорта                               93.1

Деятельность спортивных объектов                            93.11

Деятельность спортивных клубов                              93.12

Деятельность фитнес-центров                                 93.13

Деятельность в области спорта прочая                        93.19

Деятельность в области отдыха и развлечений                 93.2

Деятельность зрелищно-развлекательная прочая                93.29

Деятельность парков отдыха и пляжей                         93.29.1

Деятельность танцплощадок, дискотек, школ танцев            93.29.2

Деятельность зрелищно-развлекательная прочая,
не включенная в другие группировки                          93.29.9

Деятельность физкультурно-оздоровительная                   96.04

Shibboleth SP Certificate Rollover — Поставщик услуг — Руководства — SWITCHaai

Для этой страницы требуется Javascript! Если javascript не включен, большинство функций работать не будут.

Ролловер сертификата поставщика услуг Shibboleth

На этой странице описывается процесс смены сертификата для поставщиков услуг Shibboleth. Описанная ниже процедура позволяет заменять сертификаты без перебоев в обслуживании.

Эта страница правильно работает только при включенном JavaScript.Пожалуйста, активируйте JavaScript!

Примечание

• Обратите внимание, что инструкции применимы только к Shibboleth 2.x или 3.x Service Provider (SP) , настроенному в соответствии с руководствами по развертыванию SWITCH Shibboleth Service Provider!
  — Вы не используете Shibboleth SP?
• Чтобы избежать перебоев в обслуживании, обязательно выполняйте все пронумерованные шаги полностью.

Справочная информация

Поставщику услуг Shibboleth (SP) необходим сертификат для подписи запросов аутентификации и расшифровки утверждений SAML.Сертификат SP встроен в метаданные SAML, чтобы поставщики удостоверений (IdP) знали сертификат SP. Следовательно, новый сертификат необходимо добавить к:

Изменения в метаданных SWITCHaai распространяются на все доверяющие стороны как минимум за 1 час. Следовательно, сертификаты нельзя заменить за один шаг. Хотя большинство доверяющих сторон загрузят метаданные в течение двух часов, это не гарантируется для всех объектов. Однако перенос сертификата можно выполнить без прерывания обслуживания.Чтобы это сработало, решающее значение имеют порядок и время выполнения следующих шагов.

Настройка

Некоторые из фрагментов конфигурации содержат значения, настроенные специально для поставщика услуг. Руководство будет использовать «# hostName #» в качестве имени хоста, «# oldCertPath #» в качестве пути для старого сертификата, «# oldKeyPath #» в качестве пути для старого файла ключей и «# os #» в качестве операционной системы.
Если вы хотите выбрать другие значения, заполните форму еще раз.

Перед началом обновления сертификата заполните следующую форму и нажмите «Обновить».Это создает настраиваемые фрагменты конфигурации в разделах ниже.

Инструкции по обновлению сертификата поставщика услуг

Следующие инструкции объясняют, как выполнить смену сертификата без прерывания обслуживания. Обзор общей процедуры можно найти на следующем рисунке.

Шаг 0: Создайте новый сертификат

SWITCH рекомендует использовать самоподписанные сертификаты для Shibboleth. Если у вас уже есть сертификат, соответствующий требованиям сертификатов SWITCHaai, перейдите к шагу 1.
Чтобы сгенерировать новый самозаверяющий сертификат, выполните следующие команды:

 # Используйте временный каталог для создания нового ключа и сертификата.
cd / tmp

# Копируем текущий ключевой файл во временную директорию с сохранением прав доступа к файлу
cp -p # oldKeyPath # sp-key-temp.pem

# Создать новую пару файлов сертификата и ключа (в текущем каталоге)
/etc/shibboleth/keygen.sh -y 10 -h # имя_хоста #

# Скопируйте содержимое во временный ключевой файл с правильными правами доступа к файлу
кошка sp-key.pem> sp-key-temp.pem

# Переместите файл временного ключа в правильный путь
mv sp-key-temp.pem # newKeyPath #

# Очистка
rm sp-key.pem

# Скопируйте сертификат в правильное место
mv sp-cert.pem # newCertPath #
 

# Используйте каталог shibboleth для создания нового ключа и сертификата
cd / etc / shibboleth

# Перенести существующие файлы сертификатов во временное место, если они существуют
[-e sp-cert.pem] && mv sp-cert.pem / tmp /
[-e sp-key.pem] && mv sp-key.pem / tmp /

# Создать новую пару файлов сертификата и ключа
shib-keygen -y 10 -h # имя_хоста #

# Скопируйте сертификат в правильное место
mv sp-cert.pem # newCertPath #

# Переместите ключевой файл в правильный путь
mv sp-key.pem # newKeyPath #

# Верните старый сертификат в правильное место
[-e /tmp/sp-cert.pem] && mv /tmp/sp-cert.pem / etc / shibboleth /
[-e /tmp/sp-key.pem] && mv /tmp/sp-key.pem / etc / shibboleth /
 

 кд C: \ Temp
C: \ opt \ shibboleth-sp \ etc \ shibboleth \ keygen.bat -h # имя хоста # -y 10 -o C: \ Temp

REM В более старых версиях Shibboleth SP опция -o пока не поддерживается.
REM Для этих версий просто опустите параметр -o и перейдите на C: \ opt \ shibboleth-sp \ etc \ shibboleth \ для следующих шагов.

переместить sp-cert.pem # newCertPath #
переместите sp-key.pem # newKeyPath # 

С помощью приведенных выше команд создается новый сертификат и закрытый ключ, которые перемещаются в каталог учетных данных Shibboleth IdP.
Убедитесь, что файл ключа # newKeyPath # доступен для чтения пользователем, который запускает процесс демона Shibboleth shibd .

Шаг 1. Настройте новый сертификат как «дополнительный новый сертификат»

Перед добавлением нового сертификата в метаданные федерации этот сертификат необходимо сначала добавить в конфигурацию SP ( shibboleth3.xml ). Таким образом, SP узнает о новом сертификате до того, как получит утверждения, зашифрованные с помощью нового сертификата. С другой стороны, необходимо предотвратить то, что SP уже активно использует новый сертификат для запросов атрибутов. Следовательно, сертификат должен быть настроен как «дополнительный новый сертификат».
В файле конфигурации Shibboleth shibboleth3.xml замените текущий элемент CredentialResolver следующим:

Важно, чтобы новый сертификат был добавлен после старого сертификата, потому что они используются в порядке их объявления !

После добавления нового сертификата в качестве «дополнительного нового сертификата» рекомендуется проверить конфигурацию (как администратор или root) с помощью команды:

 / sbin / shibd -tc / etc / shibboleth / shibboleth3.xml 

 шибд -tc /etc/shibboleth/shibboleth3.xml 

 C: \ opt \ shibboleth-sp \ sbin \ shibd.exe -check -config C: \ opt \ shibboleth-sp \ etc \ shibboleth \ shibboleth3.xml 

Следует сказать, что общая конфигурация может быть загружена без ошибок или критических сообщений.
Затем перезапустите демон Shibboleth с помощью:

 перезапуск службы shibd 

 перезапуск службы shibd 

 чистая остановка shibd_Default
чистый старт shibd_Default 

В результате этого изменения конфигурации SP может расшифровать утверждения, которые были зашифрованы старым или новым сертификатом.SP по-прежнему будет использовать старый сертификат для запросов атрибутов.

Шаг 2. Добавьте новый сертификат в метаданные

Этот шаг может быть выполнен сразу после или одновременно с шагом 1. Теперь, когда SP настроил новый сертификат как «дополнительный новый сертификат», сертификат также должен быть распространен на IdP в федерации. Следовательно, новый сертификат необходимо включить в метаданные федерации.
Покажите новый сертификат с:

 cat # newCertPath # 

 cat # newCertPath # 

 тип # newCertPath # 

Затем перейдите в реестр ресурсов и добавьте новый сертификат в соответствующее описание ресурса SP.Порядок сертификатов не имеет значения.
Затем отправьте изменение на утверждение и подождите, пока администратор центра регистрации ресурсов (RRA) не утвердит изменения.

Чтобы утвердить новый сертификат, администратор RRA может запросить у вас отпечаток пальца сертификата. Отпечаток пальца можно показать с помощью команды:

 openssl x509 -fingerprint -sha1 -noout -in # newCertPath # 

 openssl x509 -fingerprint -sha1 -noout -in # newCertPath # 

 openssl.exe x509 -fingerprint -sha1 -noout -in # newCertPath # 

После того, как изменения для описания ресурса были утверждены , потребуется не более 2 часов, пока каждый IdP в федерации SWITCHaai загрузит новый файл метаданных федерации.
IdP, загрузившие метаданные, будут случайным образом выбирать, какой сертификат они будут использовать для шифрования утверждений для этого SP. Следовательно, SP к этому моменту уже должен иметь настроенный новый сертификат, чтобы иметь возможность расшифровывать утверждения как со старым, так и с новым сертификатом.
На всякий случай не следует переходить к следующему шагу до истечения этого времени.

Шаг 3. Настройте SP для использования нового сертификата

По истечении как минимум 2 часов каждый IdP в федерации SWITCHaai должен загрузить последний файл метаданных, который включает новый сертификат. Впоследствии поставщик услуг теперь может быть настроен на использование нового сертификата в качестве активного сертификата и сохранение старого в качестве «дополнительного старого сертификата». Чтобы новый сертификат стал активным, он должен быть настроен на раньше старого сертификата.
Для этого измените порядок элементов CredentialResolver в файле конфигурации Shibboleth shibboleth3.xml , как показано ниже:

Снова проверьте конфигурацию и перезапустите демон Shibboleth после применения этого изменения:

 шибд-тс / и т.д. / шибболет / шибболет3.xml 

 шибд -tc /etc/shibboleth/shibboleth3.xml 

 C: \ opt \ shibboleth-sp \ sbin \ shibd.exe -check -config C: \ opt \ shibboleth-sp \ etc \ shibboleth \ shibboleth3.xml 

А потом:

 перезапуск службы shibd 

 перезапуск службы shibd 

 чистая остановка shibd_Default
чистый старт shibd_Default 

Шаг 4. Удалите старый сертификат из метаданных

Этот шаг можно выполнить сразу после шага 3.
Перейдите в реестр ресурсов и удалите старый сертификат из соответствующего описания ресурса SP.После того, как это изменение было одобрено администратором RRA, пройдет не более 2 часов, пока изменение не будет распространено на все IdP в федерации SWITCHaai.

Шаг 5. Удалите старый сертификат из конфигурации поставщика услуг

В целях безопасности рекомендуется удалить старый сертификат из конфигурации. Этот шаг рекомендуется, даже если срок действия сертификата истек.
Прежде чем продолжить, важно подождать два часа после того, как изменение шага 4 было одобрено .Только тогда можно быть уверенным, что все IdP в федерации SWITCHaai загрузили новые метаданные.
Вместо удаления старого сертификата рекомендуется закомментировать его в файле конфигурации Shibboleth shibboleth3.xml , как показано ниже:

        
        
             
             
             
        
        ->
        
     

Снова проверьте конфигурацию и перезапустите демон Shibboleth после применения этого изменения:

 шибд-тс / и т.д. / шибболет / шибболет3.xml 

 шибд -tc /etc/shibboleth/shibboleth3.xml 

 C: \ opt \ shibboleth-sp \ sbin \ shibd.exe -check -config C: \ opt \ shibboleth-sp \ etc \ shibboleth \ shibboleth3.xml 

А потом:

 перезапуск службы shibd 

 перезапуск службы shibd 

 чистая остановка shibd_Default
чистый старт shibd_Default 

Список литературы

Понимание SAML | Okta Developer

Традиционно корпоративные приложения развертываются и запускаются в сети компании.Для получения информации о пользователях, например профилей пользователей и сведений о группах, многие из этих приложений созданы для интеграции с корпоративными каталогами, такими как Microsoft Active Directory. Что еще более важно, учетные данные пользователя обычно хранятся и проверяются с помощью каталога. Например, если вы используете SharePoint и Exchange, которые работают локально, ваши учетные данные для входа будут вашими учетными данными Active Directory.

Однако с расширением сотрудничества и переходом к облачным средам многие приложения вышли за пределы домена компании.Федеративная аутентификация — это решение этой проблемы.

Аутентификация

Прежде чем рассматривать федеративную аутентификацию, нам нужно понять, что на самом деле означает аутентификация. Аутентификация определяет способ идентификации и проверки пользователя с помощью каких-либо учетных данных в рамках процесса входа. Большинство приложений предоставляют конечному пользователю страницу входа, позволяющую пользователю указать имя пользователя и пароль. В некоторых случаях для поиска пользователя может потребоваться дополнительная информация, например идентификатор компании или код клиента.Эта информация позволяет приложению сузить поиск имени пользователя, применимого к предоставленной информации. Это часто используется для того, чтобы одно и то же имя пользователя могло существовать для нескольких клиентов, принадлежащих разным клиентам.

Большинство приложений имеют хранилище пользователей (DB или LDAP), которое, помимо прочего, содержит информацию о профиле пользователя и учетные данные. Когда пользователь входит в систему, учетные данные проверяются в этом пользовательском хранилище. Преимущество этого простого подхода заключается в том, что все управляется в приложении, обеспечивая единый и последовательный способ аутентификации конечного пользователя.Однако, если пользователю необходимо получить доступ к нескольким приложениям, для каждого из которых требуется свой набор учетных данных, это становится проблемой для конечного пользователя. Во-первых, пользователю необходимо запомнить разные пароли в дополнение к любому другому корпоративному паролю (например, его паролю AD), который может уже существовать. Теперь пользователь вынужден поддерживать отдельные имена пользователей и пароли и должен обрабатывать разные политики паролей и сроки их действия. Кроме того, этот сценарий также создает головную боль для администраторов и независимых поставщиков программного обеспечения, когда пользователи приложений продолжают иметь доступ к приложениям, которые должны были быть отозваны.

Федеративная идентификация

Федеративная идентификация началась с необходимости поддерживать доступ к приложениям, выходящий за пределы компании или организации. Представьте себе отношения между компанией по производству соков (JuiceCo), продающей свой продукт крупной сети супермаркетов (BigMart). Как сотруднику JuiceCo вам необходимо получить доступ к приложению, предоставленному BigMart, для управления взаимоотношениями и отслеживания поставок и продаж.

В этом случае BigMart (предоставляющий это приложение) должен будет позаботиться об аутентификации пользователя.Самый простой способ — потребовать от пользователей, работающих в JuiceCo, другое имя пользователя и пароль. Но подумайте обо всех пользователях, которых это приложение должно будет обслуживать, включая всех других поставщиков и их пользователей, которым необходим доступ к приложению.

Более элегантный способ решить эту проблему — позволить JuiceCo и всем остальным поставщикам делиться или «объединять» идентификационные данные с BigMart. Как сотрудник JuiceCo, у вас уже есть фирменный стиль и учетные данные. Федеративная идентификация обеспечивает безопасный способ для сети супермаркетов (поставщика услуг) внешней аутентификации путем интеграции с существующей инфраструктурой идентификации своих поставщиков (поставщик удостоверений).

Этот тип использования привел к рождению федеративных протоколов, таких как язык разметки утверждения безопасности (SAML) (открывается в новом окне).

См. Технический обзор языка разметки утверждений безопасности (SAML) V2.0 (открывается в новом окне) для более глубокого обзора.

Планирование SAML

SAML в основном используется в качестве веб-механизма аутентификации, поскольку он основан на использовании агента браузера для посредничества в потоке аутентификации. На высоком уровне поток аутентификации SAML выглядит следующим образом:

Теперь мы готовы ввести некоторые общие термины SAML.Мы рассмотрим их технические детали позже, но на этапе планирования важно понимать общую концепцию.

• Поставщик услуг (SP) — это организация, предоставляющая услугу, обычно в форме приложения.

• Поставщик удостоверений (IdP) — это объект, предоставляющий удостоверения, включая возможность аутентификации пользователя. Поставщик удостоверений обычно также содержит профиль пользователя: дополнительную информацию о пользователе, такую ​​как имя, фамилия, код должности, номер телефона, адрес и т. Д.В зависимости от приложения, некоторым поставщикам услуг может потребоваться очень простой профиль (имя пользователя, адрес электронной почты), тогда как другим может потребоваться более богатый набор пользовательских данных (код должности, отдел, адрес, местонахождение, менеджер и т. Д.).

• Запрос SAML , также известный как запрос аутентификации, генерируется поставщиком услуг для «запроса» аутентификации.

• Ответ SAML генерируется поставщиком удостоверений. Он содержит фактическое утверждение аутентифицированного пользователя.Кроме того, ответ SAML может содержать дополнительную информацию, например информацию о профиле пользователя и информацию о группе / роли, в зависимости от того, что может поддерживать поставщик услуг.

• Вход , инициированный поставщиком услуг (инициированный поставщиком услуг) описывает поток входа SAML, инициированный поставщиком услуг. Обычно это срабатывает, когда конечный пользователь пытается получить доступ к ресурсу или войти в систему непосредственно на стороне поставщика услуг, например, когда браузер пытается получить доступ к защищенному ресурсу на стороне поставщика услуг.

• Вход в систему, инициированный поставщиком удостоверений (инициированный IdP) описывает поток входа SAML, инициированный поставщиком удостоверений. Вместо того, чтобы поток SAML запускался перенаправлением от поставщика услуг, в этом потоке поставщик удостоверений инициирует ответ SAML, который перенаправляется поставщику услуг для подтверждения личности пользователя.

Пара ключевых моментов, на которые следует обратить внимание:

1. Поставщик услуг никогда не взаимодействует напрямую с поставщиком удостоверений.Браузер действует как агент для выполнения всех перенаправлений.

2. Поставщик услуг должен знать, к какому провайдеру удостоверений следует выполнять перенаправление, прежде чем он получит какое-либо представление о том, кем является пользователь.

3. Поставщик услуг не знает, кто является пользователем, до тех пор, пока подтверждение SAML не вернется от поставщика удостоверений.

4. Этот поток не обязательно должен начинаться с поставщика услуг. Поставщик удостоверений может инициировать поток проверки подлинности.

5. Поток аутентификации SAML является асинхронным.Поставщик услуг не знает, завершит ли он когда-либо весь поток. Из-за этого поставщик услуг не поддерживает состояние каких-либо сгенерированных запросов на аутентификацию. Когда поставщик услуг получает ответ от поставщика удостоверений, ответ должен содержать всю необходимую информацию.

Контрольный список для планирования

Хотя протокол SAML является стандартом, существуют разные способы его реализации в зависимости от характера вашего приложения.Ниже приводится контрольный список, который поможет вам разобраться в некоторых ключевых моментах.

1. Понимание роли поставщика услуг

2. Один IdP и несколько IdP

3. Понимание потока входа, инициированного SP подмножество пользователей

4. Реализация «бэкдора»

Понимание роли поставщика услуг

IdP SAML генерирует ответ SAML на основе конфигурации, взаимно согласованной IdP и SP.После получения утверждения SAML поставщику услуг SP необходимо подтвердить, что утверждение исходит от действительного IdP, а затем проанализировать необходимую информацию из утверждения: имя пользователя, атрибуты и т. Д.

Для этого SP требует как минимум следующего:

• Сертификат — SP должен получить публичный сертификат от IdP для проверки подписи. Сертификат хранится на стороне SP и используется всякий раз, когда приходит ответ SAML.
• Конечная точка ACS — URL-адрес службы потребителей утверждений — часто называемый просто URL-адресом для входа в SP.Это конечная точка, предоставляемая SP, где публикуются ответы SAML. SP должен предоставить эту информацию IdP.
• URL-адрес для входа IdP — это конечная точка на стороне IdP, где размещаются запросы SAML. SP должен получить эту информацию от IdP.

Самый простой способ реализовать SAML — использовать набор инструментов SAML с открытым исходным кодом. В конце статьи мы включили список рекомендуемых наборов инструментов для нескольких языков. Эти наборы инструментов обеспечивают логику, необходимую для переваривания информации во входящем ответе SAML.Кроме того, если SP должен поддерживать инициированный SP поток входа в систему, наборы инструментов также предоставляют логику, необходимую для генерации соответствующего запроса аутентификации SAML.

Единый IdP против нескольких IdP

Если вы строите внутреннюю интеграцию и хотите включить SAML для интеграции с вашим корпоративным поставщиком идентификационной информации SAML, то вам нужно поддерживать только одного IdP. В этом случае ваша интеграция должна иметь дело только с одним набором метаданных IdP (сертификат, конечные точки и т. Д.).

Если вы независимый поставщик программного обеспечения, создающий корпоративный продукт SaaS, или если вы создаете внешний веб-сайт / портал / сообщество для своих клиентов и партнеров, то вам необходимо подумать о поддержке нескольких IdP. Это типичный вариант использования для многих SaaS ISV, которым необходимо интегрироваться с инфраструктурой корпоративной идентификации клиентов. В зависимости от архитектуры вашего приложения вам необходимо подумать о способах хранения конфигурации SAML (например, сертификатов или URL-адресов для входа IdP) от каждого поставщика удостоверений, а также о том, как предоставить необходимую информацию SP для каждого из них.

Ключевым моментом является конечная точка URL ACS на стороне SP, где публикуются ответы SAML. Можно открыть одну конечную точку даже при работе с несколькими IdP. Для мультитенантного приложения с одним экземпляром, где арендатор не определен в URL-адресе (например, при использовании поддомена), это может быть более простой способ реализации. Однако затем вы должны полагаться на дополнительную информацию в ответе SAML, чтобы определить, какой IdP пытается аутентифицировать (например, используя IssuerID).Если ваше приложение настроено в многопользовательском режиме с информацией о домене в URL-адресе (например, с использованием https://domain1.example.com или https://www.example.com/domain1 ) , то наличие конечной точки URL ACS для каждого поддомена может быть хорошим вариантом, поскольку URL сам идентифицирует домен.

Общие сведения о потоке входа, инициированном SP

Как обсуждалось ранее, поток входа в систему, инициированный IdP, начинается с IdP. Поскольку он начинается на стороне IdP, нет никакого дополнительного контекста о том, к чему пользователь пытается получить доступ на стороне SP, кроме того факта, что пользователь пытается пройти аутентификацию и получить доступ к SP.Обычно после аутентификации пользователя браузер переходит на общую целевую страницу в SP.

В потоке, инициированном SP, пользователь пытается получить доступ к защищенному ресурсу непосредственно на стороне SP, но IdP не знает об этой попытке. Возникают две проблемы. Во-первых, необходимо определить правильного IdP, если требуется аутентификация федеративного удостоверения. При входе в систему, инициированном SP, SP изначально ничего не знает об идентичности. Как разработчик, вам необходимо выяснить, как поставщик услуг SP может определить, какой IdP должен получать запрос SAML.В некоторых случаях, если URL-адреса вашего приложения содержат информацию о поддомене, которая сопоставлена ​​уникальному клиенту и IdP, тогда полученной ссылки на ресурс достаточно для идентификации IdP. Если это не так, вам может потребоваться запросить у конечного пользователя дополнительную информацию от конечного пользователя, такую ​​как идентификатор пользователя, адрес электронной почты или идентификатор компании. Вам нужно что-то, что позволяет SP определять, к какому IdP принадлежит пользователь, пытающийся получить доступ к ресурсу. Помните, вы запрашиваете только идентификатор, а не учетные данные.Okta также поддерживает передачу идентификатора IdP с параметром «LoginHint», так что пользователю не нужно снова вводить идентификатор при перенаправлении на IdP для входа в систему. Для инструкций по запуску Okta для отправки «LoginHint» в IdP см. Перенаправление с использованием глубоких ссылок SAML.

Еще одна проблема с потоком входа, инициированным SP, — это поддержка глубоких ссылок. Большинство приложений поддерживают глубокие ссылки. Например, вы можете получить ссылку на документ, который находится в системе управления контентом.В идеале, если вам нужно пройти аутентификацию до доступа к документу, вы хотели бы, чтобы документ был перенаправлен сразу после аутентификации.

SAML по своей конструкции является асинхронным протоколом. Процесс входа в систему, инициированный SP, начинается с генерации запроса аутентификации SAML, который перенаправляется IdP. На этом этапе SP не хранит никакой информации о запросе. Когда ответ SAML возвращается от IdP, SP ничего не знает о начальной глубинной ссылке, которая инициировала запрос аутентификации.К счастью, SAML поддерживает это с помощью параметра RelayState.

RelayState — это параметр HTTP, который может быть включен как часть запроса SAML и ответа SAML. В потоке входа, инициированном SP, SP может установить параметр RelayState в запросе SAML с дополнительной информацией о запросе. SAML IdP после получения запроса SAML принимает значение RelayState и просто присоединяет его обратно в качестве параметра HTTP в ответе SAML после аутентификации пользователя.Таким образом, когда цикл туда и обратно завершается, SP может использовать информацию RelayState для получения дополнительного контекста о начальном запросе аутентификации SAML.

В случае глубокой ссылки SP устанавливает RelayState в запросе SAML со значением глубокой ссылки. Когда возвращается ответ SAML, SP может использовать значение RelayState и направить аутентифицированного пользователя к нужному ресурсу.

Инструкции по созданию глубинной ссылки для SAML IdP см. В разделе «Перенаправление с использованием глубоких ссылок SAML».

Отображение конфигурации SAML в SP

Как обсуждалось ранее, поставщику SP требуется конфигурация IdP для завершения настройки SAML. Хотя многие независимые поставщики программного обеспечения предпочитают делать это через поддержку и электронную почту, лучший способ сделать это — открыть страницу самообслуживания администратора для ИТ-администратора вашего клиента, чтобы включить SAML. SAML поддерживает метаданные как на стороне IdP, так и на стороне SP. Один из способов настройки отношения IdP / SP на стороне SP — это создание возможности получения файла метаданных IdP и возможности создания файла метаданных SP для использования IdP.Это предпочтительный метод.

Однако некоторые независимые поставщики программного обеспечения разрешают настройку нескольких ключевых параметров SAML напрямую, а не через файл метаданных. Типичные параметры включают URL-адрес перенаправления IdP (для запроса SAML), IssuerID, URL-адрес выхода IdP. SP также должен разрешить загрузку или сохранение общедоступного сертификата IdP.

Использование файла метаданных предпочтительнее, поскольку он может обрабатывать любые будущие дополнения / улучшения в вашей поддержке SAML без внесения изменений пользовательского интерфейса, которые в противном случае потребовались бы, если вы предоставите определенные параметры конфигурации SAML в своем пользовательском интерфейсе.

Включение SAML для всех по сравнению с подмножеством пользователей

В зависимости от характера вашего приложения могут быть причины, по которым SAML может быть разрешен только подмножеству пользователей. Представьте себе приложение, к которому обращаются внутренние сотрудники и внешние пользователи, например партнеры. Сотрудники могут использовать SAML для входа в приложение, а внешние пользователи могут использовать отдельный набор учетных данных.

Даже в тех случаях, когда намерение состоит в том, чтобы включить SAML для всех пользователей определенного клиента, может быть полезно включить только часть пользователей во время проверки концепции, тестирования и развертывания для проверки аутентификации. с меньшим количеством пользователей перед запуском для всего населения.

Внедрение «бэкдора»

Это особенно важно, когда предполагается, что все население будет поддерживать SAML в вашем приложении. Иногда может быть ошибка в конфигурации SAML или что-то меняется в конечных точках SAML IdP. В любом случае вы не хотите, чтобы вас полностью заблокировали. Наличие бэкдора, доступного администратору для доступа к заблокированной системе, становится чрезвычайно важным. Это часто достигается за счет наличия «секретного» URL-адреса для входа, который не запускает перенаправление SAML при доступе.Обычно администратор использует имя пользователя и пароль для входа в систему и внесения необходимых изменений для решения проблемы.

Ссылка

SAML 2.0

Часто задаваемые вопросы по SAML

Миграция сертификата SP — InCommon Federation

Эта статья предназначена для администраторов сайтов и делегированных администраторов, желающих перенести старый сертификат из метаданных SP. Пожалуйста, прочтите более общий раздел о переносе сертификатов, прежде чем продолжить.

Обращайтесь с новым секретным ключом осторожно!

Перед созданием новой пары ключей подумайте, как лучше всего обрабатывать важнейший закрытый ключ.

В метаданных федерации сертификат в метаданных SP содержится в элементе (без использовать атрибут XML). Такой сертификат может использоваться для подписи, TLS и / или шифрования. Таким образом, в элементе содержится единственный ключевой дескриптор (кроме периода миграции).

Требования к реализации

Эта процедура в конечном итоге требует одновременной настройки двух ключей дешифрования в программном обеспечении SP. Некоторые реализации программного обеспечения не позволяют настраивать несколько ключей дешифрования (что является ошибкой реализации). Обратитесь к документации к вашему программному обеспечению для получения дальнейших инструкций.

Независимо от используемой реализации SP, общий процесс миграции выглядит следующим образом.

Предварительные условия:

• В метаданных SP есть единственный элемент (без использовать атрибут XML).
• Программное обеспечение настроено на использование одного закрытого ключа в качестве ключа подписи, ключа TLS и / или ключа дешифрования.

Процедура:

1. Настройте программное обеспечение SP следующим образом:
   1. Продолжайте использовать старый ключ в качестве ключа подписи, ключ TLS и / или ключ дешифрования.
   2. Кроме того, используйте новый ключ в качестве дешифрования. только ключ
2. Обновите метаданные SP следующим образом:
   1. Добавьте новый элемент (без используйте атрибут XML)
   2. Измените старый элемент на элемент
3. Дождитесь, пока недавно обновленные метаданные распространятся по всей Федерации.Две недели — это безопасно, хотя может потребоваться и более длительное время, в зависимости от методов работы ваших партнеров.
4. Настройте программное обеспечение SP следующим образом:
   1. Используйте новый ключ в качестве ключа подписи, ключа TLS и / или ключа дешифрования
   2. Прекратите использование старого ключа
5. Удалите старый элемент из метаданных SP.

Сведения о процедуре:

Шаг 1 требует, чтобы новый ключ был настроен только как ключ дешифрования.В частности, новый ключ , а не должен быть настроен как ключ подписи или ключ TLS в это время (но см. Шаг 4). В конце шага 1 в вашем программном обеспечении будут настроены два ключа дешифрования. Какой из них будет использоваться, зависит от того, какие метаданные будут доступны у IdP при шифровании утверждения.

Порядок ключей в конфигурации

Новый ключ дешифрования должен быть указан первым в реализации SP. Это связано с тем, что новый ключ является единственным ключом шифрования, указанным в метаданных SP.Если указать новый ключ первым в конфигурации, будет происходить меньше неудачных попыток дешифрования.

На шаге 2 войдите в диспетчер федерации и привяжите новый сертификат к элементу , добавив новый элемент без атрибута use XML. То есть привяжите новый ключ к метаданным как ключ «подписи и шифрования». Одновременно измените старый элемент на элемент , то есть ключ «Только для подписи».(Щелкните изображение справа, чтобы увидеть, как это делается в диспетчере федерации.) После этого метаданные вашего SP будут содержать два (2) ключевых дескриптора, один из которых новый.

После достаточно длительного ожидания полностью удалите старый ключ из конфигурации на шаге 4. В конце этого шага в программном обеспечении будет настроен только новый ключ, как ключ подписи, ключ TLS и / или ключ дешифрования. Старый ключ больше не будет настраиваться.

Наконец, в сочетании с шагом 4, войдите в Federation Manager на шаге 5 и удалите старый дескриптор ключа — тот, который имеет атрибут use = "signed" XML — из метаданных.Оставьте новый элемент — тот, у которого нет , используйте атрибут XML — в метаданных.

На этом процесс миграции завершен.

Детали реализации для разработчиков SP

Процесс смены ключей для Shibboleth 2.x SP полностью задокументирован в вики Shib.

Процесс миграции, описанный в вики Shib, отличается от описанного выше. Последний позволяет избежать одновременного использования двух сертификатов шифрования в метаданных, что, как известно, имеет проблемы совместимости с некоторым программным обеспечением IdP (например, Microsoft AD FS 2.0).

Если у вас есть вопросы о Shibboleth, обратитесь к спискам рассылки Shib.

Ресурсы

криптография — метаданные SP: сертификат для подписи и шифрования

В спецификации сказано, что:

Метаданные для языка разметки утверждений безопасности OASIS (SAML) V2.0

2.4.1.1 Элемент

Элемент предоставляет информацию о криптографических ключах, которые
субъект использует для подписи данных или получения зашифрованных ключей, а также дополнительные
криптографические детали.Его сложный тип KeyDescriptorType состоит из
следующие элементы и атрибуты:

использовать [Необязательно]

Необязательный атрибут, определяющий назначение описываемого ключа. Значения взяты из перечисления KeyTypes и состоят из значений , шифрование, и , подписание .

[Обязательно]

Необязательный элемент, который прямо или косвенно идентифицирует ключ.

Насколько мне известно, для отправки защищенных данных в обоих направлениях у меня должно быть:

1. Мой личный ключ
2. Мой собственный открытый ключ
3. Открытый ключ получателя

Сертификат, какой ключ я должен указать в метаданных SP- и могу ли я использовать тот же сертификат для подписи и шифрования?

Поставщик IdP предоставил так называемый «шаблон метаданных», в котором указано, что и где должно быть указано.

Вот соответствующая часть (дословно):

 ...

   
      
         
            
          
      
   



   
      
         
            
         
      
   

...
  

Делаю так:

  ...

    
        
            
                MIID ... ZiQ ==
            
        
    


    
        
            
                MIID ... ZiQ ==
            
        
    

...
  

Не работает.

Итак, AFAIK для подписи я должен использовать сертификат моего закрытого ключа, а для шифрования я должен использовать сертификат открытого ключа IdP.

ИМХО так и должно быть.

  ...

    
        
            
                
            
        
    


    
        
            
                
            
        
    

...
  

Я прав?

Как обновить / обновить сертификат SP в плагине SAML SSO? — База знаний

Обратите внимание, что простая установка последней версии плагина не приведет к немедленной замене сертификата.Ваша система единого входа продолжит работать со старым сертификатом, если вы не обновите его, выполнив указанные ниже действия.

Случай 1: Версия плагина 12+
Случай 2: Версия плагина менее 12

Случай 1: Если вы уже используете версию плагина Premium или Enterprise 12+, выполните следующие действия:

1. Перейти на панель управления >> Обновляет раздел WordPress.
2. Выберите miniOrange SSO с использованием SAML 2.0 из списка и нажмите Обновить плагины .
   ( Примечание. Если вы не видите в списке функцию единого входа miniOrange с использованием SAML 2.0. Затем нажмите кнопку «Проверить еще раз» )
3. Перейдите на вкладку «Управление сертификатами» в подключаемом модуле SAML miniOrange.
   1. Сначала загрузите новый сертификат или загрузите метаданные, как показано ниже на снимке экрана.
   2. Загрузите этот сертификат в свой IDP. Если ваш IDP ищет метаданные, вы можете предоставить файл метаданных, загруженный на предыдущем шаге. Эти метаданные содержат новый сертификат.
   3. После загрузки сертификата. Щелкните Проверить соединение, чтобы проверить, правильно ли работает загруженный сертификат.
   4. Если проверка прошла успешно, нажмите только «Применить сертификат» и «Подтвердить обновление».
      

Случай 2: Если вы используете более низкие версии (<12) плагина Premium или Enterprise, выполните следующие действия:

1. Щелкните здесь, чтобы войти в панель управления xecurify / miniOrange.
2. Перейдите к лицензии >> Управление лицензиями в левом нижнем углу панели инструментов, как показано на снимке экрана ниже.
3. Щелкните раздел «Выпуски и загрузки». Загрузите последнюю версию плагина по доступным ссылкам для скачивания. Если ссылка для загрузки недоступна, это означает, что срок действия вашей лицензии истек.
   Примечание. Чтобы продлить лицензию, свяжитесь с нами по адресу [email protected]
4. Установка:
   1. Войдите в свою панель администратора WordPress, перейдите в настройки плагина SAML miniOrange и откройте «Настройка поставщика услуг».
      1. Включите параметр «Сохранить настройки без изменений» в настройке поставщика услуг ( Примечание: если параметр «Сохранить настройки без изменений» не отображается, перейдите к следующему шагу (шаг B) )
      2. Деактивировать и удалить этот плагин.
      3. Загрузите новую версию плагина, которую вы загрузили с панели управления miniOrange.
      4. Активируйте плагин.
      5. Войдите в плагин, используя учетные данные miniOrange, и все готово.

   Чтобы обновить сертификат, выполните следующие действия.

   2. Замена нового плагина через FTP.
      1. После загрузки плагина (.zip) с панели управления miniOrange.
      2. Подключитесь к своему WP-сайту через FTP и перейдите по адресу
         / www / wp-content / plugins
      3. Сделайте резервную копию установленного плагина — miniorange-saml-20-single-sign-on.резервная копия
      4. Распакуйте zip-файл. Убедитесь, что имя папки — miniorange-saml-20-single-sign-on

      .

   Чтобы обновить сертификат, выполните следующие действия.

   3. Если вы не видите, оставьте без изменений параметр , и вы также не сможете получить доступ к FTP. Затем выполните следующие действия:
      1. Перейти к Service Provider Setup Вкладка вашего плагина. Прокрутите страницу вниз до самого низа.
      2. Нажмите Экспорт конфигурации подключаемого модуля .Держите этот загруженный файл под рукой.
      3. Деактивировать и удалить старую версию плагина.
      4. Загрузите новую версию плагина.
      5. Активируйте плагин.
      6. Импортируйте файл конфигурации, используя опцию Импорт конфигурации под разделом поддержки

Чтобы обновить сертификат, выполните следующие действия:
После установки новой версии подключаемого модуля (12.0.2) выполните следующие действия, чтобы обновить новый сертификат:
Перейдите на вкладку «Управление сертификатами» в Плагин miniOrange SAML.

1. Сначала загрузите новый сертификат или загрузите метаданные, как показано ниже на снимке экрана.
2. Загрузите этот сертификат в свой IDP. Если ваш IDP ищет метаданные, вы можете предоставить файл метаданных для загрузки на предыдущем шаге. Эти метаданные содержат новый сертификат.
3. После загрузки сертификата. Щелкните Проверить соединение, чтобы проверить, правильно ли работает загруженный сертификат.
4. Если проверка прошла успешно, нажмите только «Применить сертификат» и «Подтвердить обновление».

Ротация сертификатов системы единого входа Zoom — Справочный центр Zoom

Обзор

Zoom имеет расширенную поддержку сертификатов единого входа (SSO), позволяя владельцам учетных записей и администраторам автоматически обновлять сертификат при появлении нового сертификата вместо обновления сертификата вручную. Администраторы также могут откатить свою конфигурацию единого входа, чтобы использовать предыдущий сертификат.

Примечание : В соответствии со стандартной отраслевой практикой Zoom удаляет свой сертификат единого входа (SSO) до истечения срока его действия в пятницу, 26 марта года.Перед ротацией сертификата с вашей стороны могут потребоваться действия, чтобы избежать прерывания обслуживания и продолжить использование системы единого входа для входа в Zoom:

.

• Никаких действий не требуется. для учетных записей, использующих поставщика удостоверений (IDP) или конфигурацию, которая поддерживает динамическое обновление метаданных, так как ваш IDP автоматически загрузит последний сертификат Zoom и включит его в конфигурацию вашей учетной записи, начиная с понедельника, 22 февраля . После этого вы должны увидеть указанные ниже параметры в настройках единого входа на веб-портале Zoom.Кроме того, если ваша реализация IDP не требует сертификата поставщика услуг, указанные ниже параметры не будут отображаться на вашем веб-портале, и никаких дополнительных действий не потребуется.
• Требуется действие для настройки масштабирования единого входа:
• Подписать запрос SAML
• Подпись SAML Запрос на выход
• Поддержка зашифрованных утверждений
• Требуется действие между 22 февраля — 25 марта , если вы решите отключить автоматическое обновление или если ваш IDP не поддерживает автоматическую ротацию сертификатов.Вы можете начать процесс ротации сертификатов, выбрав новый сертификат в настройках единого входа на веб-портале Zoom. Вы также можете изменить сертификат, который Zoom использует для взаимодействия с вашим IDP на этой странице. После ротации нового сертификата вы и ваши пользователи можете продолжать входить в Zoom, используя систему единого входа без перерыва.

Эта статья охватывает:

Предварительные требования

• • Права владельца или администратора Zoom
  • Аккаунт для бизнеса или образования с утвержденным персональным URL-адресом

Новые возможности управления сертификатами SSO

Сертификат поставщика услуг

Сертификаты поставщика услуг используются для подписи запроса SAML и запроса выхода SAML при отправке этих запросов вашему IDP.Поскольку ваш IDP использует эти сертификаты для проверки подписи запроса SAML / выхода из системы, крайне важно, чтобы сертификаты были одинаковыми как в Zoom, так и в вашем IDP. Если сертификат отличается, ваш IDP может выдать ошибку и не позволить пользователю войти в систему.

Этот сертификат можно найти в метаданных SAML Zoom, расположенных по адресу https: // yourvanityur l.zoom.us/saml/metadata/sp.

Автоматически управлять сертификатом

Ротация сертификатов ADFS

Если на вашем сервере ADFS не включена проверяющая сторона Monitor для URL-адреса метаданных SAML Zoom, вам потребуется обновить сертификат вручную.

Автоматически обновлять сертификат через URL метаданных

Чтобы включить опцию мониторинга на сервере ADFS:

1. 1. Войдите на свой сервер ADFS.
   2. Откройте Administrative Tools , затем откройте консоль управления AD FS (MMC ).
   3. На левой панели навигации щелкните Доверительные отношения , затем щелкните Доверительные отношения проверяющей стороны .
   4. Щелкните правой кнопкой мыши Relying Party Trust для Zoom , затем щелкните Properties .
   5. На вкладке Monitoring введите URL-адрес своих метаданных SAML Zoom (https: // yourvanityur l.zoom.us/saml/metadata/sp).
   6. Включить Проверяющую сторону .
   7. Щелкните Применить .

Обновление сертификата вручную через URL-адрес метаданных

Для обновления сертификата вручную с помощью URL-адреса метаданных:

1. 1. В настройках Zoom SSO обновите сертификат Zoom до последней версии.
   2. Войдите на свой сервер ADFS.
   3. Откройте Administrative Tools , затем откройте консоль управления AD FS (MMC ).
   4. На левой панели навигации щелкните Доверительные отношения , затем щелкните Доверительные отношения проверяющей стороны .
   5. Щелкните правой кнопкой мыши Relying Party Trust для Zoom , затем щелкните Properties .
   6. Введите URL-адрес метаданных SAML Zoom (https: // yourvanityur l.zoom.us/saml/metadata/sp).
   7. Щелкните Test URL .
   8. После успешной проверки щелкните Ok , затем щелкните Apply .
   9. Закройте окно Свойства .
   10. Щелкните правой кнопкой мыши Relying Party Trust для Zoom и выберите Обновить из федерации Метаданные .
   11. На вкладке Identifiers щелкните Update .
   12. Проверить сертификат Действующие и Срок действия для нового сертификата указаны на вкладках Encryption и Signature .
       Примечание : вкладка Encryption может содержать только один сертификат или, возможно, ни одного, если в вашем SSO не включена поддержка зашифрованного утверждения . Это также касается вкладки Signature , если в вашем SSO не включен Sign SAML Request или Sign SAML Logout Request .

После обновления сертификата Zoom рекомендует выполнить несколько тестовых входов в систему, чтобы убедиться, что система единого входа работает правильно.

Устранение ошибок в журнале ADFS

Ошибка подписи сертификата MSIS3015

«Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: MSIS3015: сертификат подписи доверия поставщика утверждений« xxxxxxxx.zoom.us », идентифицированный отпечатком« 175F66EE7911A55ECF3549280C85A0BB941CEC16 », недействителен.

Ошибка сертификата шифрования MSIS3014

«Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: MSIS3014: сертификат шифрования доверяющей стороны «microsoft: identityserver: xxxxxxx.zoom.us», идентифицированный отпечатком «175F66EE7911A55ECF3549280C85A0BB941CEC16», недействителен ».

Если вы получаете одну из этих ошибок, это может означать, что сертификат был отозван, срок его действия истек или что цепочка сертификатов не является надежной. Мы рекомендуем откатить ваш сертификат до предыдущего сертификата и протестировать, чтобы убедиться, что ошибки были устранены.После устранения ошибок повторно обновите сертификат с помощью URL-адреса метаданных.

Вручную обновить сертификат файлом

Скачать сертификат от Zoom

1. 1. Перейдите к настройкам Zoom SSO.
   2. В раскрывающемся списке Сертификат поставщика услуг (SP) выберите самый последний сертификат (сертификат с наибольшей датой истечения срока действия).
   3. Щелкните Просмотр , чтобы открыть страницу сведений о сертификате.
   4. Щелкните Download , чтобы загрузить файл сертификата.

Загрузите сертификат в ADFS

1. 1. Войдите на свой сервер ADFS.
   2. Откройте Administrative Tools , затем откройте консоль управления AD FS (MMC).
   3. На левой панели навигации щелкните Доверительные отношения , затем щелкните Доверительные отношения проверяющей стороны .
   4. Щелкните правой кнопкой мыши Relying Party Trust для Zoom , затем щелкните Properties .
   5. Щелкните вкладку Encryption , затем щелкните Browse .
   6. Откройте загруженный файл сертификата.
   7. Щелкните вкладку Подпись .
   8. Удалите все сертификаты, перечисленные в данный момент.
   9. Щелкните Добавить и выберите последний сертификат.

После обновления сертификата Zoom рекомендует выполнить несколько тестовых входов в систему, чтобы убедиться, что система единого входа работает правильно.

Если при тестировании входы в систему через систему единого входа работают некорректно, выполните откат к предыдущему сертификату и проверьте входы.Если вход в систему через систему единого входа прошел успешно, повторно загрузите сертификат, выполнив указанные выше действия.

Ротация сертификатов Shibboleth

Shibboleth V3

Примечание : При использовании Shibboleth убедитесь, что включена поддержка зашифрованного утверждения .

Если ваш Shibboleth использует HTTPMetadataProvider , FileBackedHTTPMetadataProvider или DynamicHTTPMetadataProvider MetadataProvider Type, то Shibboleth будет отслеживать метаданные Zoom.Если он не использует один из перечисленных типов MetadataProvider, вам нужно будет вручную загрузить и обновить файл метаданных на сервере Shibboleth.

Если ваш Shibboleth использует ResourceBackedMetadataProvider , LocalDynamicMetadataProvider , FilesystemMetadataProvider MetadataProvider Type, вы можете обновить файл метаданных без перезапуска вашего веб-сервера Tomcat или другого приложения Java (например, Apache Tomcat).

Для получения дополнительных сведений посетите вики-страницу конфигурации Shibboleth.

Обновление сертификата вручную через перезапуск веб-сервера

1. 1. В настройках Zoom SSO обновите сертификат Zoom до последней версии.
   2. Загрузите новые метаданные со страницы https: // yourvanityur l.zoom.us/saml/metadata/sp.
   3. Обновите существующий файл метаданных на сервере Shibboleth новым файлом сертификата.
   4. Перезапустите веб-сервер.

Примечание : Если вы не перезапустите веб-сервер, вам придется подождать, пока Shibboleth загрузит файл, что может занять от 5 минут до 24 часов.В течение этого периода пользователи могут не иметь возможности входить в систему с помощью системы единого входа.

Изящное ручное обновление сертификата

1. 1. Загрузите новые метаданные со страницы https: // yourvanityur l.zoom.us/saml/metadata/sp.
   2. Обновите существующий файл метаданных на сервере Shibboleth новым файлом сертификата.
   3. Подождите 48 часов, пока Zoom автоматически обнаружит и обновит новый сертификат.
   4. Проверьте конфигурацию Zoom SSO, чтобы увидеть, обновляется ли сертификат до последней версии (2022 г.) автоматически,
      • В случае успеха : Еще раз загрузите файл метаданных из URL-адреса метаданных и обновите сервер новым файлом.
      • В случае неудачи : Подождите еще день, пока Zoom автоматически обнаружит новый сертификат.

SAMLKeysAndCertificates — Shibboleth Concepts — Shibboleth Wiki

Содержание

Терминология

• KeyDescriptor типа «подпись»: A элемент в метаданных SAML

• KeyDescriptor типа «KeyDescriptor» : Элемент в метаданных SAML

• Сертификат подписи: Сертификат открытого ключа, связанный с KeyDescriptor типа «подписывание» в метаданных SAML.Сертификат подписи неотличим от сертификата TLS обратного канала в метаданных.

• Сертификат TLS обратного канала: Сертификат открытого ключа, привязанный к KeyDescriptor типа «подпись» в метаданных SAML. Сертификат TLS обратного канала неотличим от сертификата подписи в метаданных.

• Сертификат шифрования: Сертификат открытого ключа, привязанный к KeyDescriptor типа «шифрование» в метаданных SAML.

• Учетные данные: Закрытый ключ плюс соответствующий ему сертификат открытого ключа.

• Учетные данные для подписи: Пара ключей, используемая для подписи XML. Открытый ключ привязан к сертификату подписи в метаданных. Закрытый ключ надежно хранится у стороны, подписывающей XML-сообщение.

• Учетные данные TLS обратного канала: Пара ключей, используемая для аутентификации TLS обратного канала. Открытый ключ привязан к сертификату TLS обратного канала в метаданных. Закрытый ключ надежно хранится у аутентифицируемой стороны.

• Учетные данные шифрования: Пара ключей, используемая для шифрования XML.Открытый ключ привязан к сертификату шифрования в метаданных. Закрытый ключ надежно хранится у стороны, расшифровывающей XML-сообщение.

Элемент KeyDescriptor

В метаданных SAML есть два типа KeyDescriptors: тип подписывающего KeyDescriptor и тип шифрования KeyDescriptor. Эти типы KeyDescriptor соответствуют следующим элементам метаданных (соответственно):

Другими словами, тип KeyDescriptor — это особый тип элемента в метаданных SAML.

Фраза «Тип KeyDescriptor» предлагается в спецификации метаданных SAML. В схеме метаданных SAML есть пронумерованный строковый тип с именем md: KeyTypes с допустимыми значениями «подписывание» и «шифрование».

Тип KeyDescriptor подписи

Тип KeyDescriptor подписи соответствует элементу в метаданных. Фактический сертификат, содержащийся в этом элементе метаданных, позволяет подписывать на уровне сообщения (т.д., XML-подпись) или аутентификации TLS по обратному каналу (или и то, и другое).

Тип дескриптора ключа шифрования

Тип дескриптора шифрования соответствует элементу в метаданных. Фактический сертификат, содержащийся в этом элементе метаданных, обеспечивает шифрование на уровне сообщения (т. Е. Шифрование XML).

Атрибут использования XML

Согласно схеме метаданных SAML, атрибут md: KeyDescriptor / @ use XML является необязательным атрибутом.KeyDescriptor без использует атрибут XML , такой как

— это просто оптимизация для пары смежных элементов

каждый с точно таким же содержанием.

Содержимое KeyDescriptor

На практике содержимое любого заданного элемента является сертификатом открытого ключа.В метаданных есть три типа сертификатов

1. Сертификат подписи
2. Сертификат TLS обратного канала
3. Сертификат шифрования

KeyDescriptor типа «подпись» содержит либо сертификат подписи, либо сертификат TLS обратного канала, а KeyDescriptor — тип «шифрование» содержит сертификат шифрования.

KeyDescriptor типа «подписывание» неоднозначен.

Сертификат подписи неотличим от сертификата TLS обратного канала в метаданных (и наоборот).

Использование сертификата подписи

Термин «сертификат подписи» неверен. Сертификат подписи в метаданных фактически используется для проверки подписи , а не подписи. Закрытый ключ подписи надежно хранится подписывающей стороной.

Использование сертификата шифрования

Чтобы проиллюстрировать, как работает шифрование XML, IdP использует сертификат шифрования в метаданных SP для шифрования утверждения SAML. Секретный ключ дешифрования надежно хранится у SP.

В инфраструктуре открытого ключа X.509 сертификат связывает открытый ключ с именем субъекта. В инфраструктуре открытого ключа SAML сертификат — это просто удобная оболочка для открытого ключа.

На практике единственная важная часть сертификата — это открытый ключ. Потребитель, который соответствует профилю взаимодействия метаданных OASIS SAML V2.0, полностью игнорирует все другие части сертификата, кроме открытого ключа. Это определяет модель доверия под названием Explicit Key Trust Model .

Ключи и сертификаты SAML

Ключ подписи и сертификат

Учетные данные для подписи — это пара ключей, используемая для подписи XML, которая обеспечивает аутентичность и целостность на уровне сообщения. Открытый ключ привязан к сертификату подписи в метаданных. Закрытый ключ надежно хранится у стороны, подписывающей XML-сообщение.

Ключ TLS и сертификат

Учетные данные TLS — это пара ключей, используемая для проверки подлинности TLS по обратному каналу, которая обеспечивает подлинность, целостность и конфиденциальность на транспортном уровне.Открытый ключ привязан к сертификату TLS обратного канала в метаданных. Закрытый ключ надежно хранится у аутентифицируемой стороны.

Ключ шифрования и сертификат

По определению, учетные данные шифрования — это пара ключей, используемая для шифрования XML, которая обеспечивает аутентичность и конфиденциальность на уровне сообщения. Открытый ключ привязан к сертификату шифрования в метаданных. Закрытый ключ надежно хранится у стороны, расшифровывающей XML-сообщение.

Пример

Создание ключа SAML и сертификата

В этом разделе показано, как использовать инструмент командной строки openssl для создания пары ключей с долгоживущим самозаверяющим сертификатом.

Предупреждение системы безопасности!

Если закрытый ключ, созданный ниже, предназначен для производственной системы, введите следующую команду непосредственно в целевой системе (IdP или SP) только . В противном случае удалите опцию -nodes , чтобы включить шифрование закрытого ключа.Когда опция -nodes удалена, инструмент запросит у пользователя пароль для дешифрования.

 # измените эти значения по необходимости
$ OUT_DIR = / tmp / учетные данные
$ LIFETIME = 3650 # 10 лет

# обычно только для TLS-сертификата обратного канала требуется имя субъекта
# но не помешает добавить это в сертификат подписи или шифрования
$ SUBJECT_NAME = '/ CN = hostname.example.org'

# создать 2048-битный ключ с долгоживущим самозаверяющим сертификатом
$ / usr / bin / openssl req -new -x509 -nodes \
-newkey rsa: 2048 -keyout $ OUT_DIR / key.pem \
-дней $ LIFETIME -subj $ SUBJECT_NAME -out $ OUT_DIR / cert.pem 

Проверка сертификата SAML

Используйте инструмент командной строки openssl для проверки сертификата, созданного в предыдущем разделе. Обратите внимание, что сертификат содержит 2048-битный открытый ключ.

 # проверить сертификат
$ / usr / bin / openssl x509 -text -in $ OUT_DIR / cert.pem
Сертификат:
    Данные:
        Версия: 3 (0x2)
        Серийный номер:
            92: bf: 75: 98: a6: ed: 22: 4c
        Алгоритм подписи: sha1WithRSAEncryption
        Эмитент: CN = имя хоста.example.org
        Срок действия
            Не раньше: 4 июня, 22:42:33 2016 г. по Гринвичу
            Не после: 2 июня 22:42:33 2026 по Гринвичу
        Тема: CN = hostname.example.org
        Информация об открытом ключе субъекта:
            Алгоритм открытого ключа: rsaEncryption
            Открытый ключ RSA: (2048 бит)
                Модуль (2048 бит):
                    00: dd: a9: e8: c0: 8a: de: 66: 29: b1: bf: f1: ff: ae: 6f:
                    20: 24: 61: 4e: e4: 63: 77: 23: 58: 8d: 6a: 5f: 7f: 8b: d6:
                    56: b4: 1a: 3e: cb: 61: cc: cc: a6: f4: 91: 64: 5c: d8: f5:
                    cc: f7: 68: 74: b1: 24: 5e: c7: ac: 1e: 18: 12: 83: 26: 01:
                    f7: cf: ca: b2: a4: da: ee: d8: 3e: cf: 03: b9: de: ba: 84:
                    9c: c8: e1: 02: cf: 5c: 41: ac: 83: e5: e2: 40: 8e: dc: 80:
                    e6: 6c: 19: 44: ee: 9c: 62: 80: f9: 30: f7: 25: b8: 76: d1:
                    b5: c0: fb: 41: 63: 6f: 09: c3: 20: 21: 5f: f5: 9a: e9: 53:
                    86: e7: f1: 4d: bc: dd: 6f: ac: 2c: 69: 6d: f4: 34: 3a: 8e:
                    52: 05: 93: 70: 60: c8: 37: 52: 5f: 90: e6: 47: ad: fd: ef:
                    b2: 42: a2: 94: a0: bc: c1: 65: f4: c3: 01: 17: 0e: 03: 4e:
                    1a: d2: 7b: 02: 47: ad: 08: ca: 54: 06: 93: c7: ed: d2: 01:
                    bd: 00: ca: 7d: 8e: bb: bd: 5f: 6d: b8: 67: 39: 40: a6: bb:
                    3d: 5a: 79: 37: a2: 4a: 49: c1: ec: 41: 2e: 51: c5: 39: e3:
                    d4: 4c: 50: 56: f2: 97: 77: 3e: ed: 68: 77: 87: 2f: c0: aa:
                    bd: 5f: 62: e4: b3: c8: 63: e8: e7: b5: 9d: 1b: bc: ae: da:
                    a9: 7e: 36: de: 33: f2: ae: 8f: 04: 07: de: e8: d9: 65: 20:
                    d7: 45
                Показатель степени: 65537 (0x10001)
        Расширения X509v3:
            Идентификатор ключа темы X509v3:
                36: DF: 9D: 01: 14: C7: 25: E1: 6F: BE: F7: A9: BF: 92: 93: DA: 17: 76: 3E: 1E
            Идентификатор ключа авторизации X509v3:
                keyid: 36: DF: 9D: 01: 14: C7: 25: E1: 6F: BE: F7: A9: BF: 92: 93: DA: 17: 76: 3E: 1E
                DirName: / CN = имя хоста.example.org
                серийный: 92: BF: 75: 98: A6: ED: 22: 4C

            Основные ограничения X509v3:
                CA: ИСТИНА
    Алгоритм подписи: sha1WithRSAEncryption
        85: d1: 34: 67: 46: 9c: b8: 32: 15: e0: bb: 78: fb: 23: 53: 59: 8b: 7b:
        9d: 71: a0: df: 62: 17: 5f: 67: 97: f0: 51: 76: a5: 79: 5c: c3: 56: 83:
        51: bf: 8a: f6: 1a: 74: 86: 4b: 31: fd: a2: f4: ea: f9: 54: 57: 5d: ea:
        f7: 9e: a9: ee: c4: 79: 0e: 33: d7: eb: d9: 66: 7e: 12: 13: 87: c1: 82:
        ab: 81: c6: 24: 97: 8e: a1: 74: c7: 2e: 1d: 70: 4e: 63: d6: d7: 0c: 44:
        65: a2: bd: 46: aa: 35: a8: dc: e3: 51: a3: 84: 50: d0: 50: ae: b0: 8e:
        7e: 32: 15: 8c: 88: 68: 35: 59: 0a: b8: 09: e6: 60: f5: 02: f7: 50: ea:
        57: 8d: 3d: 45: 8d: c3: c1: 8c: 54: 27: 4b: b8: c0: 58: b6: 2d: a8: c8:
        bc: 6c: ce: 6c: ab: 77: 1a: b5: dc: e6: 5d: ac: d6: e5: 1f: b5: 6d: 17:
        9c: 70: 45: e7: 2f: 86: 3d: 72: aa: 78: 5d: ab: bd: f9: 79: f3: dd: 6f:
        15: 0b: 16: 18: c4: 6b: 81: 04: 62: 13: 76: 36: af: b9: 02: 84: d1: 39:
        76: 3b: bd: 3a: 4a: 33: f9: 97: 43: dc: ae: 52: 71: b7: e7: c1: 02: a0:
        c2: 03: 4f: ff: 1e: d6: 12: 25: 57: df: 58: 79: 94: 1e: c3: 08: c3: b6:
        fe: b9: 69: 43: 14: 6f: 4e: 1c: a8: 8c: ed: 41: dc: fc: b2: 4e: 75: 3a:
        20: 67: 51: 9д
----- НАЧАТЬ СЕРТИФИКАТ -----
MIIDQjCCAiqgAwIBAgIJAJK / dZim7SJMMA0GCSqGSIb3DQEBBQUAMB8xHTAbBgNV
BAMTFGhvc3RuYW1lLmV4YW1wbGUub3JnMB4XDTE2MDYwNDIyNDIzM1oXDTI2MDYw
MjIyNDIzM1owHzEdMBsGA1UEAxMUaG9zdG5hbWUuZXhhbXBsZS5vcmcwggEiMA0G
CSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDdqejAit5mKbG / 8f + ubyAkYU7kY3cj
WI1qX3 + L1la0Gj7LYczMpvSRZFzY9cz3aHSxJF7HrB4YEoMmAffPyrKk2u7YPs8D
ud66hJzI4QLPXEGsg + XiQI7cgOZsGUTunGKA + TD3Jbh30bXA + 0FjbwnDICFf9Zrp
U4bn8U283W + sLGlt9DQ6jlIFk3BgyDdSX5DmR63977JCopSgvMFl9MMBFw4DThrS
ewJHrQjKVAaTx + 3SAb0Ayn2Ou71fbbhnOUCmuz1aeTeiSknB7EEuUcU549RMUFby
l3c + 7Wh4hy / Aqr1fYuSzyGPo57WdG7yu2ql + Nt4z8q6PBAfe6NllINdFAgMBAAGj
gYAwfjAdBgNVHQ4EFgQUNt + dARTHJeFvvvepv5KT2hd2Ph5wTwYDVR0jBEgwRoAU
Nt + dARTHJeFvvvepv5KT2hd2Ph6hI6QhMB8xHTAbBgNVBAMTFGhvc3RuYW1lLmV4
YW1wbGUub3JnggkAkr91mKbtIkwwDAYDVR0TBAUwAwEB / zANBgkqhkiG9w0BAQUF
AAOCAQEAhdE0Z0acuDIV4Lt4 + yNTWYt7nXGg32IXX2eX8FF2pXlcw1aDUb + K9hp0
hksx / aL06vlUV13q956p7sR5DjPX69lmfhITh8GCq4HGJJeOoXTHLh2wTmPW1wxE
ZaK9Rqo1qNzjUaOEUNBQrrCOfjIVjIhoNVkKuAnmYPUC91DqV409RY3DwYxUJ0u4
wFi2LajIvGzObKt3GrXc5l2s1uUftW0XnHBF5y + GPXKqeF2rvfl5891vFQsWGMRr
gQRiE3Y2r7kChNE5dju9Okoz + ZdD3K5ScbfnwQKgwgNP / x7WEiVX31h5lB7DCMO2
/ rlpQxRvThyojO1B3PyyTnU6IGdRnQ ==
----- КОНЕЦ СЕРТИФИКАТА ----- 

Обратите внимание на сертификат в формате PEM, добавленный к выходным данным.В следующем разделе мы вставим этот сертификат в метаданные SAML.

Привязка сертификата SAML к KeyDescriptor в метаданных

Наконец, привяжите вышеуказанный сертификат к элементу в метаданных SAML:

 
  
    
      
MIIDQjCCAiqgAwIBAgIJAJK / dZim7SJMMA0GCSqGSIb3DQEBBQUAMB8xHTAbBgNV
BAMTFGhvc3RuYW1lLmV4YW1wbGUub3JnMB4XDTE2MDYwNDIyNDIzM1oXDTI2MDYw
MjIyNDIzM1owHzEdMBsGA1UEAxMUaG9zdG5hbWUuZXhhbXBsZS5vcmcwggEiMA0G
CSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDdqejAit5mKbG / 8f + ubyAkYU7kY3cj
WI1qX3 + L1la0Gj7LYczMpvSRZFzY9cz3aHSxJF7HrB4YEoMmAffPyrKk2u7YPs8D
ud66hJzI4QLPXEGsg + XiQI7cgOZsGUTunGKA + TD3Jbh30bXA + 0FjbwnDICFf9Zrp
U4bn8U283W + sLGlt9DQ6jlIFk3BgyDdSX5DmR63977JCopSgvMFl9MMBFw4DThrS
ewJHrQjKVAaTx + 3SAb0Ayn2Ou71fbbhnOUCmuz1aeTeiSknB7EEuUcU549RMUFby
l3c + 7Wh4hy / Aqr1fYuSzyGPo57WdG7yu2ql + Nt4z8q6PBAfe6NllINdFAgMBAAGj
gYAwfjAdBgNVHQ4EFgQUNt + dARTHJeFvvvepv5KT2hd2Ph5wTwYDVR0jBEgwRoAU
Nt + dARTHJeFvvvepv5KT2hd2Ph6hI6QhMB8xHTAbBgNVBAMTFGhvc3RuYW1lLmV4
YW1wbGUub3JnggkAkr91mKbtIkwwDAYDVR0TBAUwAwEB / zANBgkqhkiG9w0BAQUF
AAOCAQEAhdE0Z0acuDIV4Lt4 + yNTWYt7nXGg32IXX2eX8FF2pXlcw1aDUb + K9hp0
hksx / aL06vlUV13q956p7sR5DjPX69lmfhITh8GCq4HGJJeOoXTHLh2wTmPW1wxE
ZaK9Rqo1qNzjUaOEUNBQrrCOfjIVjIhoNVkKuAnmYPUC91DqV409RY3DwYxUJ0u4
wFi2LajIvGzObKt3GrXc5l2s1uUftW0XnHBF5y + GPXKqeF2rvfl5891vFQsWGMRr
gQRiE3Y2r7kChNE5dju9Okoz + ZdD3K5ScbfnwQKgwgNP / x7WEiVX31h5lB7DCMO2
/ rlpQxRvThyojO1B3PyyTnU6IGdRnQ ==
      
    
  
 

Вышеупомянутый сертификат является либо сертификатом подписи, либо сертификатом TLS обратного канала (или обоими).