SAML Response 생성

"그림 5 NAVER WORKS와 고객사 간 SAML 2.0 기반 SSO"의 5~6 단계에 해당하는 로직을 구현한다. 고객사 SSO 시스템에서 고객사 인증 및 SSO에 필요한 처리를 한 후, SAML Response를 생성하여 NAVER WORKS 인증 시스템의 ACS URL로 redirect한다.

Request URL {#saml-request-url}

URL은 NAVER WORKS 인증 시스템에서 로그인 페이지 요청 시 SAML Request의 'AssertionConsumerServiceURL' 값이다.

예) https://NAVERWORKS인증시스템URL/acs/mycompany.com

주의

• ACS URL은 사용자 환경 및 NAVER WORKS 정책에 따라 언제든지 바뀔 수 있는 값이므로, 반드시 SAML Request의 'AssertionConsumerServiceURL'을 사용해야 한다.

HTTP Method {#saml-request-method}

POST

SAML Request에서 ProtocolBinding을 HTTP-POST로 지정하므로, 반드시 POST를 사용해야 한다.

Request {#saml-request-parameter}

SAML Response 명세 {#saml-request-response-body}

<?xml version="1.0" encoding="UTF-8"?><saml2p:Responsexmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" ID="{고객사 SSO 시스템에서 발행하는 ID}"InResponseTo="{SAML Request에 포함된 ID}" IssueInstant="{SAML Response 생성 일시}" Version="2.0"><Signature xmlns=\"http://www.w3.org/2000/09/xmldsig#\">          {디지털 서명}</Signature><saml2p:Status><saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" /></saml2p:Status><saml2:Assertionxmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="{고객사 SSO 시스템에서 발행하는 ID}" IssueInstant="{SAML Response 생성 일시}" Version="2.0"><saml2:Subject>      <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">{로그인한 사용자의 User Key}</saml2:NameID>      <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">        <saml2:SubjectConfirmationData InResponseTo="{SAML Request에 포함된 ID}" NotOnOrAfter="{SAML Response 종료 일시}" Recipient="{ACS URL}" />      </saml2:SubjectConfirmation>    </saml2:Subject>    <saml2:Conditions NotBefore="{SAML Response 시작 일시}" NotOnOrAfter="{SAML Response 종료 일시}">      <saml2:AudienceRestriction>        <saml2:Audience>{ACS URL}</saml2:Audience>      </saml2:AudienceRestriction>    </saml2:Conditions>    <saml2:AuthnStatement AuthnInstant="{SAML Response 생성 일시}" SessionIndex="{고객사 SSO 시스템에서 발행하는 ID}"SessionNotOnOrAfter="{NAVER WORKS 세션 만료 일시}"></saml2:AuthnStatement>  </saml2:Assertion></saml2p:Response>

SAML Response의 각 항목은 다음과 같다.

참고

• NAVER WORKS의 세션은 SessionNotOnOrAfter에 만료된다. 단, NAVER WORKS 정책에 따라 사용 시 자동 연장될 수 있다.
• 사용자의 Device 환경에 따라 SessionNotOnOrAfter를 다르게 제어하도록 구현할 수 있다.
• SessionNotOnOrAfter을 설정하지 않았다면 기본 로그인 시간은 24시간(웹 브라우저), 30일(모바일앱, PC앱)로 설정된다.
  *공공은 1시간(웹 브라우저), 24시간(모바일앱), 30일(PC앱)로 설정

SAML Response Example {#saml-request-response-body-example}

<?xml version="1.0" encoding="UTF-8"?><saml2p:Response	xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" 	ID="aidalcbpncbpebcnglhhgkkbojkgbplhhhlecbjb" InResponseTo="gbggljimijodibeomaehmnmjniogjebpjckecbdg" IssueInstant="2018-02-14T10:39:05.956Z" Version="2.0">    <Signature xmlns=\"http://www.w3.org/2000/09/xmldsig#\">        ……    </Signature>    <saml2p:Status>        <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" />    </saml2p:Status>    <saml2:Assertion        xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="pbfijmklioghpbickikmeanhemnmijnmchhibenb" IssueInstant="2018-02-14T10:39:05.956Z" Version="2.0">        <saml2:Subject>            <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">admin@company.com</saml2:NameID>            <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">                <saml2:SubjectConfirmationData InResponseTo="gbggljimijodibeomaehmnmjniogjebpjckecbdg" NotOnOrAfter="2018-02-14T10:44:05.956Z" Recipient="https://auth.worksmobile.com/acs/compay.com" />            </saml2:SubjectConfirmation>        </saml2:Subject>        <saml2:Conditions NotBefore="2018-02-14T10:39:05.956Z" NotOnOrAfter="2018-02-14T10:44:05.956Z">            <saml2:AudienceRestriction>                <saml2:Audience>https://auth.worksmobile.com/acs/company.com</saml2:Audience>            </saml2:AudienceRestriction>        </saml2:Conditions>        <saml2:AuthnStatement AuthnInstant="2018-02-14T10:39:05.956Z" SessionIndex="lepcacjgfnpciekmhhjbeljadfapemdoncmhlkol" SessionNotOnOrAfter="2018-02-15T10:39:05.956Z">        </saml2:AuthnStatement>    </saml2:Assertion></saml2p:Response>

SAML Response 검증 후 오류 코드 {#saml-request-response-error-code}

NAVER WORKS에서 SAML Response 검증 후 발생 가능한 오류 코드는 다음과 같다.