网易企业邮箱和个人邮箱的区别_百度seo新站优化_网络安全有名的培训学校_刷百度指数

  POST

/cas/actuator/casValidate 

  POST

/cas/actuator/casValidate 

  POST

/cas/actuator/casValidate 

1

2

3

4

5

6

...

<Logger name="PROTOCOL_MESSAGE" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

<AppenderRef ref="casFile"/>

</Logger>

...

1

2

3

4

@Beanpublic ServiceTicketValidationAuthorizerConfigurer ticketValidationAuthorizer() {

    return plan -> plan.registerAuthorizer(...);}

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-pac4j-webflow"}

·  cas.authn.pac4j.core.discovery-selection.json.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.support.pac4j.Pac4jDelegatedAuthenticationDiscoverySelectionJsonProperties.

如何配置此属性？

·  cas.authn.pac4j.core.discovery-selection.selection-type=MENU

指示如何控制标识提供者的选择和显示。可用值如下：

MENU将列出定义的身份提供商供用户选择。

DYNAMIC首先预先构建定义的身份提供商，然后在运行时根据用户属性、属性、域标识符等动态选择一个身份提供商。

 org.apereo.cas.configuration.model.support.pac4j.Pac4jDelegatedAuthenticationDiscoverySelectionProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-authentication-request-customizer.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-provider-post-processor.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-redirection-strategy.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "sample",

  "name" : "sample",

  "id" : 100,

  "description" : "sample",

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.services.ReturnAllowedAttributeReleasePolicy",

    "allowedAttributes" : [ "java.util.ArrayList", [ "name", "first_name", "middle_name" ] ]

  }}

·  cas.authn.pac4j.webflow.enabled=true

是否应启用 webflow 自动配置。

 org.apereo.cas.configuration.model.core.web.flow.WebflowAutoConfigurationProperties.

如何配置此属性？

·  cas.authn.pac4j.webflow.order=0

配置 webflow 的顺序。

 org.apereo.cas.configuration.model.core.web.flow.WebflowAutoConfigurationProperties.

如何配置此属性？

1

2

3

4

5

6

...<Logger name="org.pac4j" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger>

...

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-oidc"}

田

描述

/oidc/.well-known

用于查询 CAS OIDC 配置信息和元数据的发现终端节点。

/oidc/.well-known/openid-configuration

与 .well-known discovery endpoint 相同。

/oidc/.well-known/webfinger

WebFinger 发现终端节点

/oidc/jwks

包含服务器的公钥，客户端可以使用这些公钥来验证 CAS 颁发的访问令牌和 ID 令牌的数字签名。接受可选的 state 查询参数，以按键的当前状态（即 current、previous、future）缩小键的范围。

/oidc/authorize

授权请求在此处处理。

/oidc/profile

用户配置文件请求在此处处理。

/oidc/logout

注销请求在此处处理。

/oidc/introspect

查询 CAS 以通过内省检测给定访问令牌的状态。此终端节点需要使用 OIDC 服务client_id进行 HTTP 基本身份验证，client_secret 关联为用户名和密码。

/oidc/accessToken、/oidc/token

生成授权访问令牌。

/oidc/revoke

撤销访问令牌或刷新令牌。此终端节点需要使用 OIDC 服务client_id进行 HTTP 基本身份验证，client_secret 关联为用户名和密码。

/oidc/register

通过动态客户端注册协议注册客户端。

/oidc/initToken

在 PROTECTED 模式下运行时，获取动态客户端注册所需的初始主访问令牌。

/oidc/clientConfig

更新或检索向服务器注册的客户端应用程序定义。

·  cas.authn.oidc.core.issuer=http://localhost:8080/cas/oidc

CAS 主要支持每个部署/主机使用单个颁发者。

 org.apereo.cas.configuration.model.support.oidc.OidcCoreProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

...<Logger name="org.apereo.cas.oidc" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger><Logger name="PROTOCOL_MESSAGE" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger>

...

1

2

3

4

5

6

7

8

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "^<https://the-redirect-uri>",

  "name": "OIDC",

  "id": 1000}

版本

参考

clientId

必填。此客户端应用程序的标识符。

clientSecret

必填。此客户端应用程序的密钥。从服务接收的客户端密钥将进行 URL 解码，然后再与 CAS 服务定义中的密钥进行比较。

clientSecretExpiration

自选。时间（以 UTC 纪元为单位）client_secret将过期，如果不会过期，则为 0。

serviceId

必填。此 OIDC 客户端的授权重定向 URI。

supportedGrantTypes

自选。此服务支持的授权类型的集合。

supportedResponseTypes

自选。此服务支持的响应类型的集合。

signIdToken

自选。是否应对 ID 令牌进行签名。默认值为 true。

jwks

自选。保存此应用程序的密钥的密钥库位置的 Resource path。

jwksKeyId

自选。要在密钥库中查找的 JSON Web 密钥 ID。

jwksCacheDuration

自选。过期策略持续时间，即 PT1S，应用于此应用程序的已加载/缓存密钥。

encryptIdToken

自选。是否应加密 ID 令牌。默认值为 false。

idTokenEncryptionOptional

自选。如果没有可用的密钥库或加密密钥，是否应跳过 ID 令牌加密。默认值为 false。

includeIdTokenClaims

自选。是否应强制包含 ID 令牌声明，而不管请求/允许的响应或授权类型如何。默认值为 false。

idTokenIssuer

自选。覆盖 ID 令牌中的 iss 声明，该声明应仅在特殊情况下使用。请勿粗心地使用此设置，因为 ID 令牌的颁发者必须始终与身份提供商的颁发者匹配。

idTokenSigningAlg

自选。用于对 id 令牌进行签名的算法标头值。

idTokenEncryptionAlg

自选。用于加密 id 令牌的算法标头值。

idTokenEncryptionEncoding

自选。用于加密 id 令牌的算法方法标头值。

userInfoSigningAlg

自选。用于对用户配置文件响应进行签名的算法标头值。

userInfoEncryptedResponseAlg

自选。用于加密用户配置文件响应的算法标头值。

userInfoEncryptedResponseEncoding

自选。用于加密用户配置文件响应的算法方法标头值。

tokenEndpointAuthenticationMethod

自选。请求的令牌端点的客户端身份验证方法。

applicationType

自选。web、native 或 blank。定义应用程序的类型。默认值（如果省略）为 web。

subjectType

从 public 或 pairwise 中选择的可选值。生成主体标识符时使用的类型。默认值为 public。

sectorIdentifierUri

自选。此 URL 的 Host 值用作成对标识符计算的扇区标识符。如果未定义，则将使用 serviceId 的 host 值。

·  cas.authn.oidc.services.defaults=

控制属于 OIDC 服务定义的字段的默认值初始值。这被定义为一个映射，其中 key 是字段名称（即 signIdToken），value 应该是默认值。如果服务定义显式定义了字段的值，则该值将接管，并且将忽略此处定义的默认值。如果服务定义未为字段定义值，并且未为该字段指定默认值，则直接分配给服务定义正文中字段的默认值将接管。

 org.apereo.cas.configuration.model.support.oidc.OidcServicesProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

12

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client-id",

  "clientSecret": "secret",

  "serviceId": "^https://app.example.org/oidc",

  "name": "MyApplication",

  "id": 1,

  "bypassApprovalPrompt": true,

  "supportedResponseTypes": [ "java.util.HashSet", [ "code" ] ],

  "supportedGrantTypes": [ "java.util.HashSet", [ "authorization_code" ] ],

  "scopes" : [ "java.util.HashSet", [ "profile", "openid", "email" ] ]}

在 basic-auth 方案中用于请求初始访问令牌的用户名，该令牌随后将用于在 DynamicClientRegistrationModes#PROTECTED 模式下动态注册客户端。

 org.apereo.cas.configuration.model.support.oidc.OidcClientRegistrationProperties.

如何配置此属性？

·  cas.authn.oidc.discovery.acr-values-supported=

支持的 ACR 值列表。此 discovery 元素包含此服务器支持的受支持 acr 值的列表。对身份验证上下文类引用的支持以 acr_values 的形式作为原始授权请求的一部分实现，CAS 的多因素身份验证功能主要考虑这一点。成功后，acr 和 amr 值将作为 id 令牌的一部分传递回信赖方。

 org.apereo.cas.configuration.model.support.oidc.OidcDiscoveryProperties.

如何配置此属性？

·  cas.authn.oidc.discovery.authorization-response-issuer-parameter-supported=false

指示授权服务器是否在授权响应中提供 iss 参数的参数。

 org.apereo.cas.configuration.model.support.oidc.OidcDiscoveryProperties.

如何配置此属性？

·  cas.authn.oidc.discovery.backchannel-authentication-request-signing-alg-values-supported=

CAS 支持用于签名身份验证请求的 JWS 签名算法（alg 值）列表。如果省略，则 CAS 不支持签名身份验证请求。

 org.apereo.cas.configuration.model.support.oidc.OidcDiscoveryProperties.

如何配置此属性？

·  cas.authn.oidc.discovery.backchannel-token-delivery-modes-supported=

支持的用于 CIBA 的反向通道令牌传递模式。

 org.apereo.cas.configuration.model.support.oidc.OidcDiscoveryProperties.

如何配置此属性？

·  cas.authn.oidc.discovery.backchannel-user-code-parameter-supported=false

指定 OP 是否支持使用 user_code 参数的布尔值。

 org.apereo.cas.configuration.model.support.oidc.OidcDiscoveryProperties.

如何配置此属性？

方法

描述

client_secret_basic

Default。客户端 ID 和客户端密钥用于创建 HTTP Basic 身份验证方案。

client_secret_post

不推荐。client_id 和 client_secret 仅在请求正文中提供和接受。

client_secret_jwt

具有客户端密钥的客户端可以使用 HMAC SHA 算法创建 JWT，该算法是使用客户端密钥作为共享密钥计算的。JWT 作为client_assertion请求参数传递client_assertion_type并且参数必须为 urn:ietf:params:oauth:client-assertion-type:jwt-bearer。

private_key_jwt

具有已注册公有密钥的客户端使用该密钥构建并签署 JWT。JWT 作为client_assertion请求参数传递client_assertion_type并且参数必须为 urn:ietf:params:oauth:client-assertion-type:jwt-bearer。

tls_client_auth

利用将证书关联到客户端的 PKI 方法的双向 TLS。

1

2

3

4

5

6

7

8

9

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client-id",

  "clientSecret": "secret",

  "serviceId": "^https://app.example.org/oidc",

  "name": "MyApplication",

  "id": 1,

  "tokenEndpointAuthenticationMethod": "client_secret_basic"}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client-id",

  "clientSecret": "secret",

  "serviceId": "^https://app.example.org/oidc",

  "name": "MyApplication",

  "id": 1,

  "tokenEndpointAuthenticationMethod": "tls_client_auth",

  "tlsClientAuthSubjectDn": "...",

  "tlsClientAuthSanDns": "...",

  "tlsClientAuthSanUri": "...",

  "tlsClientAuthSanIp": "...",

  "tlsClientAuthSanEmail": "..."}

田

描述

tlsClientAuthSubjectDn

客户端将在互惠 TLS 身份验证中使用的证书的预期使用者可分辨名称。

tlsClientAuthSanDns

客户端将在相互 TLS 身份验证中使用的证书中预期的 dNSName SAN 条目。

tlsClientAuthSanUri

证书中预期的 uniformResourceIdentifier SAN 条目。

tlsClientAuthSanIp

IPv4 或 IPv6 的证书中预期的 iPAddress SAN 条目。

tlsClientAuthSanEmail

证书中预期的 rfc822Name SAN 条目。

·  cas.authn.oidc.ciba.verification.mail.attribute-name=

指示此邮件的目标电子邮件地址的主体属性名称。这些属性必须已解析并可供 CAS 主体使用。当指定了多个属性时，将根据可用的 CAS 主体检查每个属性，以查找电子邮件地址值，这可能会导致发送多封电子邮件。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.email.EmailProperties.

如何配置此属性？

·  cas.authn.oidc.ciba.verification.mail.from=

电子邮件发件人地址。

 org.apereo.cas.configuration.model.support.email.EmailProperties.

如何配置此属性？

·  cas.authn.oidc.ciba.verification.mail.subject=

主题可以定义为 verbaitm，也可以使用语法 #{subject-language-key} 指向语言包中的消息键。此键应指向在相应语言包中定义的有效消息，然后通过活动区域设置选取该消息。如果语言代码无法解析实际主题，则将使用默认主题值。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.email.EmailProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client-id",

  "clientSecret": "secret",

  "serviceId": "^https://app.example.org/oidc",

  "name": "MyApplication",

  "id": 1,

  "supportedGrantTypes": [ "java.util.HashSet", [ "urn:openid:params:grant-type:ciba" ] ],

  "backchannelTokenDeliveryMode": "push",

  "backchannelClientNotificationEndpoint": "https://app.example.org/notify",

  "backchannelAuthenticationRequestSigningAlg": "",

  "backchannelUserCodeParameterSupported": false}

·  cas.authn.oidc.jwks.core.jwks-cache-expiration=PT60M

超时，指示 JWKS 文件应在缓存中保留多长时间。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.oidc.jwks.OidcJsonWebKeystoreCoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.core.jwks-key-id=cas

要为密钥库中生成的密钥设置的密钥标识符。

 org.apereo.cas.configuration.model.support.oidc.jwks.OidcJsonWebKeystoreCoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.core.jwks-key-size=2048

如果密钥库类型为 EC，则此处定义的密钥大小应切换为 256、384 或 521 之一。如果使用 EC，则大小应与所需的位数匹配。

 org.apereo.cas.configuration.model.support.oidc.jwks.OidcJsonWebKeystoreCoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.core.jwks-type=RSA

用于处理身份验证令牌的签名/加密的 JWKS 的类型。接受的值为 RSA 或 EC。

 org.apereo.cas.configuration.model.support.oidc.jwks.OidcJsonWebKeystoreCoreProperties.

如何配置此属性？

  GET

/cas/actuator/oidcJwks/rotate 

  GET

/cas/actuator/oidcJwks/revoke 

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "keys": [

    {

      "d": "...",

      "e": "AQAB",

      "use": "sig",

      "n": "...",

      "kty": "RSA",

      "kid": "cas",

      "state": 0

    }

  ]}

·  cas.authn.oidc.jwks.file-system.jwks-file=file:/etc/cas/config/keystore.jwks

用于处理身份验证令牌的签名/加密的 JWKS 文件资源的路径。密钥库的内容可以使用可用于所有其他 CAS 配置设置的相同加密和安全机制进行加密。此处的 setting 值也可以以原始格式定义;也就是说，您可以将密钥库的实际内容逐字传递给此设置，CAS 会将密钥库作为内存中资源加载。这在设置源位于 CAS 外部且不支持值从源动态加载到此设置的文件系统的情况下是相关的。请注意，如果指定路径中不存在密钥存储文件，则会为您生成一个密钥库文件。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.oidc.jwks.FileSystemOidcJsonWebKeystoreProperties.

如何配置此属性？

选择

参考

Groovy

请参阅此页面。

JPA

请参阅此页面。

MongoDb 数据库

请参阅此页面。

REST

请参阅此页面。

自定义

请参阅此页面。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

import org.apereo.cas.oidc.jwks.*import org.jose4j.jwk.*

def run(Object[] args) {

    def (logger) = args

    logger.info("Generating JWKS for CAS...")

    def jsonWebKeySet = "{ \"keys\": [...] }"

    return jsonWebKeySet}

def store(Object[] args) {

    def (jwks,logger) = args

    logger.info("Storing JWKS for CAS...")

    return jwks}

def find(Object[] args) {

    def (logger) = args

    logger.info("Looking up JWKS...")

    return new JsonWebKeySet(...)}

·  cas.authn.oidc.jwks.groovy.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-oidc-jpa"}

·  cas.authn.oidc.jwks.jpa.driver-class=org.hsqldb.jdbcDriver

用于连接到数据库的 JDBC 驱动程序。

 org.apereo.cas.configuration.model.support.oidc.jwks.JpaOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.jpa.password=

数据库连接密码。

 org.apereo.cas.configuration.model.support.oidc.jwks.JpaOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.jpa.url=jdbc:hsqldb:mem:cas-hsql-database

数据库连接 URL。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.oidc.jwks.JpaOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.jpa.user=sa

数据库用户必须具有足够的权限，才能在需要时处理架构更改和更新。

 org.apereo.cas.configuration.model.support.oidc.jwks.JpaOidcJsonWebKeystoreProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-oidc-mongo"}

·  cas.authn.oidc.jwks.mongo.client-uri=

mongodb 实例的连接 URI。这通常采用 mongodb://user:psw@ds135522.somewhere.com:35522/db 的形式。如果未指定，将回退到其他单个设置。如果指定，则接管所有其他设置（如果适用）。

 org.apereo.cas.configuration.model.support.oidc.jwks.MongoDbOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.mongo.collection=

要获取和/或创建的 MongoDb 数据库集合名称。

 org.apereo.cas.configuration.model.support.oidc.jwks.MongoDbOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.mongo.database-name=

MongoDb 数据库实例名称。

 org.apereo.cas.configuration.model.support.oidc.jwks.MongoDbOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.mongo.host=localhost

用于身份验证的 MongoDb 数据库主机。可以定义多个主机地址，用逗号分隔。如果定义了多个主机，则假定每个主机也包含端口（如果有）。否则，配置可能会回退到定义的端口。

 org.apereo.cas.configuration.model.support.oidc.jwks.MongoDbOidcJsonWebKeystoreProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.mongo.password=

用于身份验证的 MongoDb 数据库密码。

 org.apereo.cas.configuration.model.support.oidc.jwks.MongoDbOidcJsonWebKeystoreProperties.

如何配置此属性？

操作

参数

描述

结果

GET

不适用

检索密钥库，或生成一个密钥库。

2xx 状态码;JWKS 资源。

POST

JWKS 在请求正文中。

存储密钥库。

2xx 状态代码。

·  cas.authn.oidc.jwks.rest.url=

用于联系和检索属性的终端节点 URL。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.oidc.jwks.RestfulOidcJsonWebKeystoreProperties.

如何配置此属性？

1

2

3

4

@Bean(initMethod = "generate")public OidcJsonWebKeystoreGeneratorService oidcJsonWebKeystoreGeneratorService() {

    return new MyJsonWebKeystoreGeneratorService(...);}

价值

描述

0

该密钥是 active 和 current，用于所需的操作。

1

该密钥将是密钥轮换期间使用的下一个密钥。

2

该密钥不再使用和活动，并将在吊销操作后删除。

·  cas.authn.oidc.jwks.revocation.schedule.cron-expression=

一个类似 cron 的表达式，扩展了通常的 UN*X 定义，以包括秒、分钟、小时、月日、月和星期几的触发器。例如，0 * * * * MON-FRI 表示工作日每分钟一次（在分钟的顶部 - 第 0 秒），或 0 0 0 * * * 表示每天午夜。* 请注意，定义 cron 表达式时，必须删除 start delay 和 repeat interval 设置并将其设置为空白。

 org.apereo.cas.configuration.model.support.quartz.SchedulingProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.revocation.schedule.cron-time-zone=

将解析 cron 表达式的时区。默认情况下，此属性为空（即将使用调度程序的时区）。

 org.apereo.cas.configuration.model.support.quartz.SchedulingProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.revocation.schedule.enabled-on-host=.*

如果此属性与 CAS 服务器的主机名不匹配，则覆盖 SchedulingProperties#enabled 属性值 true。如果在 statefulset 中部署带有镜像的 CAS，其中所有名称都是可预测的，但很难为不同的服务器使用不同的配置，那么这可能很有用。该值可以是确切的主机名，也可以是将用于匹配主机名的正则表达式。

此设置支持正则表达式模式。[?].

 org.apereo.cas.configuration.model.support.quartz.SchedulingProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.revocation.schedule.enabled=true

是否应启用计划程序来计划作业运行。

 org.apereo.cas.configuration.model.support.quartz.SchedulingProperties.

如何配置此属性？

·  cas.authn.oidc.jwks.revocation.schedule.repeat-interval=PT2M

为数据存储实施重新加载数据的重复间隔的字符串表示形式。这是连续任务执行之间的超时。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.quartz.SchedulingProperties.

如何配置此属性？

1

2

3

4

@Beanpublic OidcJsonWebKeystoreRotationService oidcJsonWebKeystoreRotationService() {

    return new MyJsonWebKeystoreRotationService();}

·  cas.authn.oidc.logout.backchannel-logout-supported=true

是否支持反向通道注销。

 org.apereo.cas.configuration.model.support.oidc.OidcLogoutProperties.

如何配置此属性？

·  cas.authn.oidc.logout.frontchannel-logout-supported=true

是否支持前通道注销。

 org.apereo.cas.configuration.model.support.oidc.OidcLogoutProperties.

如何配置此属性？

·  cas.authn.oidc.core.issuer=http://localhost:8080/cas/oidc

CAS 主要支持每个部署/主机使用单个颁发者。

 org.apereo.cas.configuration.model.support.oidc.OidcCoreProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "...",

  "clientSecret": "...",

  "serviceId" : "...",

  "name": "OIDC Test",

  "id": 10,

  "scopes" : [ "java.util.HashSet",

    [ "openid", "profile", "email", "address", "phone", "offline_access" ]

  ]}

政策

描述

o.a.c.o.c.OidcProfileScopeAttributeReleasePolicy

映射到 spec 预定义profile范围的 Release 声明。

o.a.c.o.c.OidcEmailScopeAttributeReleasePolicy

版本声明映射到规范预定义的email范围。

o.a.c.o.c.OidcAddressScopeAttributeReleasePolicy

映射到 spec 预定义address范围的 Release 声明。

o.a.c.o.c.OidcPhoneScopeAttributeReleasePolicy

版本声明映射到 spec 预定义的phone范围。

o.a.c.o.c.OidcAssuranceScopeAttributeReleasePolicy

版本声明映射到assurance范围。

o.a.c.o.c.OidcCustomScopeAttributeReleasePolicy

发布到 CAS 定义的custom范围的发布声明。

1

2

3

4

5

6

7

8

9

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "...",

  "clientSecret": "...",

  "serviceId" : "...",

  "name": "OIDC Test",

  "id": 10,

  "scopes" : [ "java.util.HashSet", [ "eduPerson" ] ]}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId": "^https://...",

  "name": "Sample",

  "id": 1,

  "scopes" : [ "java.util.HashSet", [ "openid", "profile" ] ],

  "attributeReleasePolicy": {

    "@class": "org.apereo.cas.oidc.claims.OidcProfileScopeAttributeReleasePolicy",

    "claimMappings" : {

      "@class" : "java.util.TreeMap",

      "preferred_username" : "uid"

    }

  }}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "^<https://the-redirect-uri>",

  "subjectType": "pairwise",

  "usernameAttributeProvider" : {

    "@class" : "org.apereo.cas.services.PairwiseOidcRegisteredServiceUsernameAttributeProvider",

    "persistentIdGenerator" : {

      "@class" : "org.apereo.cas.authentication.principal.OidcPairwisePersistentIdGenerator",

      "salt" : "aGVsbG93b3JsZA=="

    }

  }}

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "^<https://the-redirect-uri>",

  "scopes" : [ "java.util.HashSet", [ "openid", "profile" ] ]

  "usernameAttributeProvider" : {

    "@class" : "org.apereo.cas.services.PrincipalAttributeRegisteredServiceUsernameProvider",

    "usernameAttribute" : "cn"

  }}

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "...",

  "name": "OIDC",

  "id": 1,

  "scopes" : [ "java.util.HashSet",

    [ "openid", "profile", "email" ]

  ]}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "^<https://the-redirect-uri>",

  "subjectType": "pairwise",

  "usernameAttributeProvider" : {

    "@class" : "org.apereo.cas.services.PairwiseOidcRegisteredServiceUsernameAttributeProvider",

    "persistentIdGenerator" : {

      "@class" : "org.apereo.cas.authentication.principal.OidcPairwisePersistentIdGenerator",

      "salt" : "aGVsbG93b3JsZA=="

    }

  }}

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "clientSecret": "secret",

  "serviceId" : "^<https://the-redirect-uri>",

  "scopes" : [ "java.util.HashSet", [ "openid", "profile" ] ]

  "usernameAttributeProvider" : {

    "@class" : "org.apereo.cas.services.PrincipalAttributeRegisteredServiceUsernameProvider",

    "usernameAttribute" : "cn"

  }}

1

2

3

4

5

6

7

@AutoConfigurationpublic class MyOidcConfiguration {

    @Bean

    public OidcIdTokenClaimCollector oidcIdTokenClaimCollector() {

        return new MyIdTokenClaimCollector();

    }}

1

2

3

4

5

6

7

8

9

{

  "@class": "java.util.TreeMap",

  "mail": {

    "@class": "org.apereo.cas.oidc.claims.OidcAttributeDefinition",

    "key": "mail",

    "structured": false,

    "trustFramework": "eidas"

  }}

名字

描述

structured

默认值为 false。确定是否应将生成的属性编码为分层/结构化属性，仅当分配给属性定义name指示分层布局（如 parent.child.child时才激活

trustFramework

默认值为空。将强制 CAS 将此声明标记为已验证声明的 Identity Assurance 信任框架的名称。

·  cas.authn.oidc.id-token.include-id-token-claims=true

请注意，默认情况下，此设置设置为 true，主要是为了保持与以前的 CAS 版本的向后兼容性，这些版本将声明包含在 ID 令牌中，而不考虑响应类型。此设置的行为可能会更改，并且可能会在将来的 CAS 版本中删除。

 org.apereo.cas.configuration.model.support.oidc.OidcIdTokenProperties.

如何配置此属性？

·  cas.authn.oidc.id-token.max-time-to-live-in-seconds=PT8H

硬超时以终止 id 令牌并使其过期。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.oidc.OidcIdTokenProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

12

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "clientid",

  "clientSecret": "clientSecret",

  "serviceId" : "^(https|imaps)://<redirect-uri>.*",

  "name" : "Service",

  "id" : 1,

  "idTokenExpirationPolicy": {

    "@class": "org.apereo.cas.support.oauth.services.DefaultRegisteredServiceOidcIdTokenExpirationPolicy",

    "timeToLive": "PT60S"

  }}

1

2

3

4

{

  "expires_in": 30,

  "request_uri": "OPAR-1-..."}

·  cas.authn.oidc.par.max-time-to-live-in-seconds=PT30S

硬超时以终止 PAR 令牌并使其过期。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.oidc.OidcPushedAuthorizationProperties.

如何配置此属性？

·  cas.authn.oidc.par.number-of-uses=1

控制请求可在 CAS 服务器中使用的次数。

 org.apereo.cas.configuration.model.support.oidc.OidcPushedAuthorizationProperties.

如何配置此属性？

·  cas.authn.oidc.par.storage-name=oidcPushedAuthzRequestsCache

CAS 使用和创建的存储对象名称，用于在后备票证注册表实现中保存 PAR。

 org.apereo.cas.configuration.model.support.oidc.OidcPushedAuthorizationProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

{

  "@class": "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "client",

  "serviceId": "https://app.example.org/redirect",

  "name": "Sample",

  "id": 1,

  "scopes" : [ "java.util.HashSet", [ "profile", "openid" ] ],

  "supportedResponseTypes": [ "java.util.HashSet", [ "code" ] ],

  "responseMode": "query.jwt"}

1

2

3

4

5

6

7

{

    "iss": "https://sso.example.com/cas/oidc",

    "aud": "client",

    "exp": 1311281970,

    "code": "OC-1-...",

    "state": "..."}

1

2

HTTP/1.1 302 Found

Location: https://app.example.org/redirect?response=eyJraWQiOiJsYWViIiwiYWxnIjoiRVMyN...

·  cas.authn.oidc.jarm.expiration=PT60S

硬超时以终止 JWT 令牌并使其过期。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.oidc.OidcJwtAuthorizationResponseModeProperties.

如何配置此属性？

参数

描述

resource

必填。作为发现请求主题的目标最终用户的标识符。

host

托管 WebFinger 服务的服务器。

rel

标识正在请求其位置的服务类型的 URI：http://openid.net/specs/connect/1.0/issuer

1

curl https://sso.example.org/cas/oidc/.well-known/webfinger?resource=acct:casuser@somewhere.example.org

1

2

3

4

5

6

7

8

9

{

  "subject": "acct:casuser@somewhere.example.org",

  "links": [

    {

      "rel": "http://openid.net/specs/connect/1.0/issuer",

      "href": "https://sso.example.org/cas/oidc/"

    }

  ]}

1

2

3

4

5

6

7

8

9

def findByUsername(Object[] args) {

    def (username,logger) = args

    return [username: username]}

def findByEmailAddress(Object[] args) {

    def (email,logger) = args

    return [email: email]}

·  cas.authn.oidc.webfinger.user-info.groovy.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.support.oidc.OidcWebFingerProperties.Groovy.

如何配置此属性？

·  cas.authn.oidc.webfinger.user-info.rest.url=

用于联系和检索属性的终端节点 URL。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.support.oidc.OidcWebFingerProperties.Rest.

如何配置此属性？

1

2

3

4

5

6

7

8

9

@AutoConfiguration@EnableConfigurationProperties(CasConfigurationProperties.class)public class CustomWebFingerUserInfoConfiguration {

    @Bean

    public OidcWebFingerUserInfoRepository oidcWebFingerUserInfoRepository() {

        ...

    }}

·  cas.authn.oidc.identity-assurance.verification-source.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.OidcRegisteredService",

  "clientId": "...",

  "clientSecret": "...",

  "serviceId" : "...",

  "name": "OIDC",

  "id": 1,

  "scopes" : [ "java.util.HashSet",

    [ "openid", "profile", "assurance" ]

  ]}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

[

    {

        "trust_framework": "eidas",

        "assurance_level": "substantial"

    },

    {

        "trust_framework": "it_spid",

        "time": "2019-04-20T20:16Z",

        "verification_process": "b54c6f-6d3f-4ec5-973e-b0d8506f3bc7",

        "evidence": [

            {

              "type": "document",

              "validation_method": {

                "type": "vcrypt"

              },

              "verification_method": {

                  "type": "bvr"

              },

              "time": "2019-04-20T20:11Z",

              "document_details": {

                "type": "passport",

                "issuer": {

                  "name": "Ministro Affari Esteri",

                  "country": "ITA"

                },

                "document_number": "83774554",

                "date_of_issuance": "2011-04-20",

                "date_of_expiry": "2021-04-19"

              }

            }

        ]

    }]

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "verified_claims": {

    "verification": {

      "trust_framework": "eidas",

      "assurance_level": "substantial"

    },

    "claims": {

      "given_name": "Max",

      "family_name": "Meier",

      "birthdate": "1956-01-28"

    }

  }}

1

2

3

4

@Beanpublic AssuranceVerificationSource assuranceVerificationSource() {

    return new MyAssuranceVerificationSource();}

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-pac4j-webflow"}

·  cas.authn.pac4j.core.discovery-selection.json.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.support.pac4j.Pac4jDelegatedAuthenticationDiscoverySelectionJsonProperties.

如何配置此属性？

·  cas.authn.pac4j.core.discovery-selection.selection-type=MENU

指示如何控制标识提供者的选择和显示。可用值如下：

MENU将列出定义的身份提供商供用户选择。

DYNAMIC首先预先构建定义的身份提供商，然后在运行时根据用户属性、属性、域标识符等动态选择一个身份提供商。

 org.apereo.cas.configuration.model.support.pac4j.Pac4jDelegatedAuthenticationDiscoverySelectionProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-authentication-request-customizer.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-provider-post-processor.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

·  cas.authn.pac4j.core.groovy-redirection-strategy.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "sample",

  "name" : "sample",

  "id" : 100,

  "description" : "sample",

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.services.ReturnAllowedAttributeReleasePolicy",

    "allowedAttributes" : [ "java.util.ArrayList", [ "name", "first_name", "middle_name" ] ]

  }}

·  cas.authn.pac4j.webflow.enabled=true

是否应启用 webflow 自动配置。

 org.apereo.cas.configuration.model.core.web.flow.WebflowAutoConfigurationProperties.

如何配置此属性？

·  cas.authn.pac4j.webflow.order=0

配置 webflow 的顺序。

 org.apereo.cas.configuration.model.core.web.flow.WebflowAutoConfigurationProperties.

如何配置此属性？

1

2

3

4

5

6

...<Logger name="org.pac4j" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger>

...

1

implementation "org.apereo.cas:cas-server-support-ws-sts:${project.'cas.version'}"

端点

描述

/ws/sts

显示配置中定义的每个 REALM 的可用 SOAP 服务及其 WSDL 配置的列表。

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-ws-idp"}

端点

描述

/ws/idp/metadata

根据身份提供程序的配置领域显示当前联合元数据。

/ws/idp/federation

用于接收来自客户端（通常标识为issuer）的初始 GET 身份验证请求的终端节点。

类型

http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV1.1

http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV2.0

urn:ietf:params:oauth:token-type:jwt

http://docs.oasis-open.org/ws-sx/ws-secureconversation/200512/sct

1

2

3

4

5

6

7

8

{

  "@class" : "org.apereo.cas.ws.idp.services.WSFederationRegisteredService",

  "serviceId" : "https://wsfed.example.org/.+",

  "realm" : "urn:wsfed:example:org:sampleapplication",

  "name" : "WSFED",

  "id" : 1,

  "tokenType": "http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV1.1"}

·  cas.authn.wsfed-idp.idp.realm-name=CAS

Realm 名称。

 org.apereo.cas.configuration.model.support.wsfed.WsFederationIdentityProviderProperties.

如何配置此属性？

·  cas.authn.wsfed-idp.idp.realm=urn:org:apereo:cas:ws:idp:realm-CAS

此时，默认情况下，安全令牌服务的终端节点使用单个领域配置运行，而身份提供商配置只能识别和请求单个领域的令牌。客户端注册需要确保此值匹配。

 org.apereo.cas.configuration.model.support.wsfed.WsFederationIdentityProviderProperties.

如何配置此属性？

·  cas.authn.wsfed-idp.sts.crypto.encryption.key=

加密密钥是一个 JWT，其长度由加密密钥大小设置定义。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.core.util.EncryptionJwtCryptoProperties.

如何配置此属性？

·  cas.authn.wsfed-idp.sts.crypto.signing.key=

签名密钥是一个 JWT，其长度由签名密钥大小设置定义。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.core.util.SigningJwtCryptoProperties.

如何配置此属性？

·  cas.authn.wsfed-idp.sts.realm.issuer=CAS

标识并向 STS 注册的领域的颁发者/名称。

 org.apereo.cas.configuration.model.support.wsfed.WsFederationSecurityTokenServiceRealmProperties.

如何配置此属性？

1

2

3

4

5

6

repositories {

    maven {

        mavenContent { releasesOnly() }

        url "https://build.shibboleth.net/maven/releases/"

    }}

1

2

3

4

<Logger name="org.apache.cxf" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger>

1

2

3

4

5

6

{

  "@class" : "org.apereo.cas.ws.idp.services.WSFederationRegisteredService",

  "serviceId" : "https://wsfed.example.org/.+",

  "name" : "Sample WsFed Application",

  "id" : 100}

田

描述

serviceId

回调/使用者 URL，令牌可以 POSTed，通常与 wreply 参数匹配。

realm

应用程序的领域标识符，通过 wtrealm 参数标识。这需要与为身份提供商定义的领域匹配。默认情况下，它设置为为 CAS 身份提供商定义的领域。

appliesTo

控制安全令牌的应用对象。默认为 realm。

索赔

描述

EMAIL_ADDRESS_2005

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

EMAIL_ADDRESS

http://schemas.xmlsoap.org/claims/EmailAddress

GIVEN_NAME

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname

NAME

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

USER_PRINCIPAL_NAME_2005

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn

USER_PRINCIPAL_NAME

http://schemas.xmlsoap.org/claims/UPN

COMMON_NAME

http://schemas.xmlsoap.org/claims/CommonName

GROUP

http://schemas.xmlsoap.org/claims/Group

MS_ROLE

http://schemas.microsoft.com/ws/2008/06/identity/claims/role

ROLE

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

SURNAME

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname

PRIVATE_ID

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/privatepersonalidentifier

NAME_IDENTIFIER

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier

AUTHENTICATION_METHOD

http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod

DENY_ONLY_GROUP_SID

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/denyonlysid

DENY_ONLY_PRIMARY_SID

http://schemas.microsoft.com/ws/2008/06/identity/claims/denyonlyprimarysid

DENY_ONLY_PRIMARY_GROUP_SID

http://schemas.microsoft.com/ws/2008/06/identity/claims/denyonlyprimarygroupsid

GROUP_SID

http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid

PRIMARY_GROUP_SID

http://schemas.microsoft.com/ws/2008/06/identity/claims/primarygroupsid

PRIMARY_SID

http://schemas.microsoft.com/ws/2008/06/identity/claims/primarysid

WINDOWS_ACCOUNT_NAME

http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname

PUID

http://schemas.xmlsoap.org/claims/PUID

1

2

3

4

5

6

7

8

9

10

11

12

13

14

{

  "@class" : "org.apereo.cas.ws.idp.services.WSFederationRegisteredService",

  "serviceId" : "https://wsfed.example.org/.+",

  "realm" : "urn:wsfed:example:org:sampleapplication",

  "name" : "WSFED",

  "id" : 1,

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.ws.idp.services.WSFederationClaimsReleasePolicy",

    "allowedAttributes" : {

      "@class" : "java.util.TreeMap",

      "GIVEN_NAME" : "givenName"

    }

  }}

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "sample",

  "name" : "sample",

  "id" : 300,

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.ws.idp.services.WSFederationClaimsReleasePolicy",

    "allowedAttributes" : {

      "@class" : "java.util.TreeMap",

      "EMAIL_ADDRESS_2005" : "groovy { return attributes['cn'].get(0) + '@example.org' }"

    }

  }}

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "sample",

  "name" : "sample",

  "id" : 300,

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.ws.idp.services.WSFederationClaimsReleasePolicy",

    "allowedAttributes" : {

      "@class" : "java.util.TreeMap",

      "EMAIL_ADDRESS_2005" : "file:/path/to/script.groovy"

    }

  }}

1

2

3

4

5

6

def run(final Object... args) {

    def (attributes,logger) = args

    logger.info "Attributes currently resolved: ${attributes}"

    return [attributes["cn"][0] + "@example.org"]}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

{

  "@class" : "org.apereo.cas.ws.idp.services.WSFederationRegisteredService",

  "serviceId" : "https://wsfed.example.org/.+",

  "realm" : "urn:wsfed:example:org:sampleapplication",

  "name" : "WSFED",

  "id" : 1,

  "attributeReleasePolicy" : {

    "@class" : "org.apereo.cas.ws.idp.services.CustomNamespaceWSFederationClaimsReleasePolicy",

    "namespace": "https://github.com/apereo/cas",

    "allowedAttributes" : {

      "@class" : "java.util.TreeMap",

      "employeeNumber" : "personSecurityId"

    }

  }}

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-wsfederation-webflow"}

1

2

3

4

5

6

repositories {

    maven {

        mavenContent { releasesOnly() }

        url "https://build.shibboleth.net/maven/releases/"

    }}

·  cas.authn.wsfed[0].attribute-mutator-script.location=

在 CAS 能够自动监视底层资源的更改并动态检测更新和修改的情况和场景中，您可以将以下设置指定为环境变量或系统属性，其值为 false，以禁用资源观察程序：org.apereo.cas.util.io.PathWatcherService。

 org.apereo.cas.configuration.model.SpringResourceProperties.

如何配置此属性？

·  cas.authn.wsfed[0].cookie.crypto.encryption.key=

加密密钥是一个 JWT，其长度由加密密钥大小设置定义。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.core.util.EncryptionJwtCryptoProperties.

如何配置此属性？

·  cas.authn.wsfed[0].cookie.crypto.signing.key=

签名密钥是一个 JWT，其长度由签名密钥大小设置定义。

此设置支持 Spring 表达式语言。

 org.apereo.cas.configuration.model.core.util.SigningJwtCryptoProperties.

如何配置此属性？

·  cas.authn.wsfed[0].id=

此 wsfed 配置的内部标识符。如果未定义，则标识符将由 CAS 本身自动生成。如果在 clustereddeployment 中定义了多个 CAS 服务器，则必须在配置中静态定义此标识符。

 org.apereo.cas.configuration.model.support.wsfed.WsFederationDelegationProperties.

如何配置此属性？

·  cas.authn.wsfed[0].identity-attribute=upn

从断言中提取并用于构建 CAS 委托人 ID 的属性。

 org.apereo.cas.configuration.model.support.wsfed.WsFederationDelegationProperties.

如何配置此属性？

1

2

3

4

5

6

7

openssl genrsa -out private.key 1024

openssl rsa -pubout -in private.key -out public.key -inform PEM -outform DER

openssl pkcs8 -topk8 -inform PEM -outform DER -nocrypt -in private.key -out private.p8

openssl req -new -x509 -key private.key -out x509.pem -days 365

# convert the X509 certificate to DER format

openssl x509 -outform der -in x509.pem -out certificate.crt

1

2

3

4

5

6

7

8

9

import org.apereo.cas.*import java.util.*import org.apereo.cas.authentication.*

Map run(final Object... args) {

    def (attributes,logger) = args

    logger.warn("Mutating attributes {}", attributes)

    return [upn: ["CASUser"]]}

参数

描述

attributes

ADFS 提供的属性的当前 Map。

logger

负责发出日志消息的对象，例如 logger.info(...)

1

<a href="https://adfs.example.org/adfs/ls/?wa=wsignout1.0">Logout</a>

·  cas.logout.confirm-logout=false

注销之前，允许在 Web 界面上确认选项。

 org.apereo.cas.configuration.model.core.logout.LogoutProperties.

如何配置此属性？

·  cas.logout.follow-service-redirects=false

是否应允许 CAS 在注销后重定向到备用位置。

 org.apereo.cas.configuration.model.core.logout.LogoutProperties.

如何配置此属性？

·  cas.logout.redirect-parameter=

在此处，将指示 CAS 在注销后应重定向到的目标目标，并按您选择的参数名称提取。如果未指定，则默认值将用作 service。

 org.apereo.cas.configuration.model.core.logout.LogoutProperties.

如何配置此属性？

·  cas.logout.redirect-url=

CAS 必须在所有注销操作完成后立即重定向到的 URL。在 CAS 充当代理并需要重定向到外部身份提供商的注销端点以删除会话等情况下，通常很有用。

 org.apereo.cas.configuration.model.core.logout.LogoutProperties.

如何配置此属性？

1

2

3

4

5

6

7

8

9

10

11

12

13

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "^https://.+",

  "name" : "sample service",

  "id" : 100,

  "properties" : {

    "@class" : "java.util.HashMap",

    "wsfed.relyingPartyIdentifier" : {

      "@class" : "org.apereo.cas.services.DefaultRegisteredServiceProperty",

      "values" : [ "java.util.HashSet", [ "custom-identifier" ] ]

    }

  }}

名字

默认值

类型

群

wsfed.relyingPartyIdentifier

STRING

DELEGATED_AUTHN_WSFED

1

2

3

4

5

6

...<Logger name="org.apereo.cas.support.wsfederation" level="debug" additivity="false">

    <AppenderRef ref="casConsole"/>

    <AppenderRef ref="casFile"/></Logger>

...

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-saml"}

1

2

3

4

5

6

7

{

  "@class" : "org.apereo.cas.services.CasRegisteredService",

  "serviceId" : "^https://app.example.org.+",

  "name" : "App",

  "id" : 1,

  "supportedProtocols": [ "java.util.HashSet", [ "SAML1" ] ]}

  POST

/cas/actuator/samlValidate 

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

POST /cas/samlValidate?ticket=

Host: cas.example.com

Content-Length: 491

Content-Type: text/xml

<SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/">

  <SOAP-ENV:Header/>

  <SOAP-ENV:Body>

    <samlp:Request xmlns:samlp="urn:oasis:names:tc:SAML:1.0:protocol" MajorVersion="1"

      MinorVersion="1" RequestID="_192.168.16.51.1024506224022"

      IssueInstant="2002-06-19T17:03:44.022Z">

      <samlp:AssertionArtifact>

        ST-1-u4hrm3td92cLxpCvrjylcas.example.com

      </samlp:AssertionArtifact>

    </samlp:Request>

  </SOAP-ENV:Body></SOAP-ENV:Envelope>

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

<?xml version="1.0" encoding="UTF-8"?><SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/">

  <SOAP-ENV:Body>

    <saml1p:Response xmlns:saml1p="urn:oasis:names:tc:SAML:1.0:protocol" InResponseTo="...." IssueInstant="2017-08-15T06:30:04.622Z" MajorVersion="1" MinorVersion="1" ResponseID="_bf6957bad275fc74a1c079a445581441">

      <saml1p:Status>

        <saml1p:StatusCode Value="saml1p:Success" />

      </saml1p:Status>

      <saml1:Assertion xmlns:saml1="urn:oasis:names:tc:SAML:1.0:assertion" AssertionID="_d9673d8af414cc9612929480b58cb2a1" IssueInstant="2017-08-15T06:30:04.622Z" Issuer="testIssuer" MajorVersion="1" MinorVersion="1">

        <saml1:Conditions NotBefore="2017-08-15T06:30:04.622Z" NotOnOrAfter="2017-08-15T06:30:05.622Z">

          <saml1:AudienceRestrictionCondition>

            <saml1:Audience>https://google.com</saml1:Audience>

          </saml1:AudienceRestrictionCondition>

        </saml1:Conditions>

        <saml1:AuthenticationStatement AuthenticationInstant="2017-08-15T06:46:43.585Z" AuthenticationMethod="urn:ietf:rfc:2246">

          <saml1:Subject>

            <saml1:NameIdentifier>testPrincipal</saml1:NameIdentifier>

            <saml1:SubjectConfirmation>

              <saml1:ConfirmationMethod>urn:oasis:names:tc:SAML:1.0:cm:artifact</saml1:ConfirmationMethod>

            </saml1:SubjectConfirmation>

          </saml1:Subject>

        </saml1:AuthenticationStatement>

        <saml1:AttributeStatement>

          <saml1:Subject>

            <saml1:NameIdentifier>testPrincipal</saml1:NameIdentifier>

            <saml1:SubjectConfirmation>

              <saml1:ConfirmationMethod>urn:oasis:names:tc:SAML:1.0:cm:artifact</saml1:ConfirmationMethod>

            </saml1:SubjectConfirmation>

          </saml1:Subject>

          <saml1:Attribute AttributeName="testAttribute" AttributeNamespace="whatever">

            <saml1:AttributeValue>testValue</saml1:AttributeValue>

          </saml1:Attribute>

          <saml1:Attribute AttributeName="samlAuthenticationStatementAuthMethod" AttributeNamespace="whatever">

            <saml1:AttributeValue>urn:ietf:rfc:2246</saml1:AttributeValue>

          </saml1:Attribute>

          <saml1:Attribute AttributeName="testSamlAttribute" AttributeNamespace="whatever">

            <saml1:AttributeValue>value</saml1:AttributeValue>

          </saml1:Attribute>

          <saml1:Attribute AttributeName="testAttributeCollection" AttributeNamespace="whatever">

            <saml1:AttributeValue>tac1</saml1:AttributeValue>

            <saml1:AttributeValue>tac2</saml1:AttributeValue>

          </saml1:Attribute>

        </saml1:AttributeStatement>

      </saml1:Assertion>

    </saml1p:Response>

  </SOAP-ENV:Body></SOAP-ENV:Envelope>

·  cas.saml-core.attribute-namespace=http://www.ja-sig.org/products/cas/

生成 SAML1 响应时使用的属性命名空间。

 org.apereo.cas.configuration.model.support.saml.SamlCoreProperties.

如何配置此属性？

·  cas.saml-core.issue-length=PT30S

控制断言有效期的 Issue length。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.saml.SamlCoreProperties.

如何配置此属性？

·  cas.saml-core.issuer=localhost

生成 SAML1 响应时断言的颁发者。

 org.apereo.cas.configuration.model.support.saml.SamlCoreProperties.

如何配置此属性？

·  cas.saml-core.security-manager=org.apache.xerces.util.SecurityManager

用于创建 SAML 解析器池的安全管理器类的限定名称。

 org.apereo.cas.configuration.model.support.saml.SamlCoreProperties.

如何配置此属性？

·  cas.saml-core.skew-allowance=PT30S

控制身份验证的 issue 实例的 Skew Allowance。

此设置支持java.time.Duration 语法 [？]。

 org.apereo.cas.configuration.model.support.saml.SamlCoreProperties.

如何配置此属性？

1

2

3

4

5

6

repositories {

    maven {

        mavenContent { releasesOnly() }

        url "https://build.shibboleth.net/maven/releases/"

    }}

1

2

3

4

5

6

7

8

9

10

dependencies {

    /*

        The following platform references should be included automatically and are listed here for reference only.

        implementation enforcedPlatform("org.apereo.cas:cas-server-support-bom:${project.'cas.version'}")

        implementation platform(org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES)

    */

    implementation "org.apereo.cas:cas-server-support-saml-idp"}

1

2

3

4

5

6

repositories {

    maven {

        mavenContent { releasesOnly() }

        url "https://build.shibboleth.net/maven/releases/"

    }}