# Shibboleth Identity Provider

Steps not yet verified in the identity provider's current admin console.

Recommended protocol: SAML 2.0.

## SAML 2.0

### Shibboleth Identity Provider'ı SAML 2.0 ile bağlayın

1. KeenAuth SP metadata'sını **SP metadata URL** adresinden indirin ve IdP sunucusuna kaydedin; örneğin %{idp.home}/metadata/local-metadata.xml.
2. conf/metadata-providers.xml dosyasına xsi:type="FilesystemMetadataProvider" olan ve metadataFile'ı bu dosyayı gösteren bir MetadataProvider ekleyin. IdP dosyayı düzenli aralıklarla yeniden yükler (minRefreshDelay varsayılanı PT30S, maxRefreshDelay varsayılanı PT4H); hemen yüklemek için IdP'yi yeniden başlatın.
3. Alternatif olarak metadata'yı xsi:type="FileBackedHTTPMetadataProvider" ile HTTP üzerinden yükleyin (backingFile ve metadataURL **SP metadata URL**). İlkenizin gerektirdiği metadata filtrelerini ekleyin; örneğin SignatureValidation, RequiredValidUntil ve RetainedRole md:SPSSODescriptor olan EntityRole.
4. KeenAuth varlığı **SP entity ID** artık doğrulanmış bir relying party'dir ve conf/relying-party.xml içindeki shibboleth.DefaultRelyingParty (SAML2.SSO ve öteki olağan profiller) ona uygulanır. Varsayılan olarak her girişte değişen transient bir NameID üretir; KeenAuth'un persistent NameID'ye ihtiyacı vardır (sonraki iki adım).
5. Persistent NameID'yi açın: conf/saml-nameid.properties içinde idp.persistentId.sourceAttribute'u kararlı ve yeniden atanmayan bir özniteliğe ayarlayın, credentials/secrets.properties içinde idp.persistentId.salt'ı uzun rastgele bir sır yapın ve conf/saml-nameid.xml içinde shibboleth.SAML2NameIDGenerators listesindeki \<ref bean="shibboleth.SAML2PersistentGenerator" /\> satırını yorumdan çıkarın.
6. shibboleth.RelyingPartyOverrides listesine bir override bean ekleyin: \<bean parent="RelyingPartyByName" c:relyingPartyIds="**SP entity ID**"\>; profileConfigurations listesinde \<bean parent="SAML2.SSO" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" /\> ve \<ref bean="SAML2.Logout" /\> olsun. IdP, KeenAuth metadata'sındaki NameIDFormat listesini unspecified içerdiği için yok sayar; override varsayılan profilleri de miras almaz, bu yüzden KeenAuth'un kullandığı her profili listeleyin.
7. Öznitelikleri yayımlayın: conf/attribute-resolver.xml içinde kullanıcı deponuzdan mail, givenName ve sn'yi (isteğe bağlı olarak grupları) tanımlayın; conf/attribute-filter.xml içine PolicyRequirementRule'u xsi:type="Requester" value="**SP entity ID**" olan ve her biri için AttributeRule permitAny="true" içeren bir AttributeFilterPolicy ekleyin. Öznitelikler urn:oid:0.9.2342.19200300.100.1.3 (mail), urn:oid:2.5.4.42 (givenName) ve urn:oid:2.5.4.4 (sn) adlarıyla gider; KeenAuth'ta bu adları e-posta, ad ve soyada eşleyin.
8. KeenAuth'ta IdP entityID değerini (conf/idp.properties içindeki idp.entityID; tüm SAML profillerinde issuer) ve IdP'nin `https://<idp host>/idp/shibboleth` adresinde yayımladığı SAML metadata'sını (%{idp.home}/metadata/idp-metadata.xml ile aynı dosya) girin, ardından bağlantı testini çalıştırın.

Values in bold are shown on the connection's page in the Admin Portal, where this guide has them filled in.