사용 가능 플랜: Entry, Professional, Enterprise, Enterprise Advanced

SAML(Security Assertion Markup Language)은 OneLogin과 같은 ID 공급자(IdP)가 Mattermost와 같은 서비스 제공자(SP)에게 인가 자격 증명을 전달할 수 있도록 하는 개방형 표준입니다.

간단히 말해, 하나의 자격 증명 세트로 여러 사이트에 로그인할 수 있다는 의미입니다. SAML ID 공급자 계정이 있으면 동일한 계정으로 Mattermost 및 다른 사이트에 안전하게 로그인할 수 있습니다.

주요 이점은 관리자가 사용자들이 SAML ID 공급자 자격 증명으로 접근할 수 있는 사이트를 제어하여 사용자 관리를 중앙화하는 데 도움이 된다는 것입니다.

Mattermost는 싱글 사인온 URL을 사용하여 IdP 메타데이터 URL을 생성하고, 이 단일 메타데이터 URL로 ID 공급자의 구성 정보를 가져오는 방식을 지원합니다. IdP 메타데이터 XML 파일에는 IdP 인증서, 엔티티 ID, 리디렉션 URL, 로그아웃 URL이 포함됩니다.

이 URL을 사용하면 구성 과정에서 SAML SSO URL 및 ID 공급자 발급자 URL 필드가 자동으로 채워지고, ID 공급자 공개 인증서도 서버에서 다운로드되어 로컬에 설정됩니다.

현재 Okta 및 Microsoft ADFS 서버 2012와 2016에서 지원됩니다.

자세한 단계는 Okta로 SAML 구성, Windows Server 2012용 Microsoft ADFS로 SAML 구성, Microsoft Windows Server 2016을 사용한 Microsoft ADFS로 SAML 구성 문서를 참조하세요. Mattermost가 SAML을 위해 지원하는 암호화 방법은 인증 구성 설정 문서를 참조하세요.

SAML 공급자#

ID 공급자(IdP): ID 공급자가 인증을 수행합니다. 사용자가 로그인하기 위해 클릭하면 ID 공급자가 사용자가 누구인지 확인하고, 사이트에 접근할 적절한 권한과 함께 서비스 제공자에게 데이터를 전송합니다.

예시: OneLogin, Okta, Microsoft Active Directory(ADFS) 또는 Azure.

서비스 제공자(SP): 서비스 제공자는 IdP에서 인증 및 인가 정보를 받습니다. 정보를 받으면 사용자에게 시스템 접근을 허용하고 로그인시킵니다.

예시: Mattermost, Zendesk, Zoom, Salesforce.

SAML 요청 (AuthNRequest)#

Mattermost가 SP 시작 SAML 요청 흐름을 시작할 때, IdP에 base64 문자열로 된 XML 페이로드를 포함하는 HTTP-Redirect 바인딩 요청을 생성합니다.

bM441nuRIzAjKeMM8RhegMFjZ4L4xPBHhAfHYqgnYDQnSxC++Qn5IocWuzuBGz7JQmT9C57nxjxgbFIatiqUCQN17aYrLn/mWE09C5mJMYlcV68ibEkbR/JKUQ+2u/N+mSD4/C/QvFvuB6BcJaXaz0h7NwGhHROUte6MoGJKMPE=

AuthNRequest는 Mattermost에서 서명할 수도 있으며, 이 경우 XML 페이로드는 다음과 유사합니다.

<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" xmlns:samlsig="https://www.w3.org/2000/09/xmldsig#" ID="_u5mpjadp1fdozfih4cj8ap4brh" Version="2.0" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" AssertionConsumerServiceURL="http://localhost:8065/login/sso/saml" IssueInstant="2019-06-08T16:00:31Z">
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">https://www.okta.com/exkoxukx1D8OIfY03356</saml:Issuer>
    <samlsig:Signature Id="Signature1">
        <samlsig:SignedInfo>
            <samlsig:CanonicalizationMethod Algorithm="https://www.w3.org/2001/10/xml-exc-c14n#"></samlsig:CanonicalizationMethod>
            <samlsig:SignatureMethod Algorithm="https://www.w3.org/2000/09/xmldsig#rsa-sha256"></samlsig:SignatureMethod>
            <samlsig:Reference URI="#_u5mpjadp1fdozfih4cj8ap4brh">
                <samlsig:Transforms>
                    <samlsig:Transform Algorithm="https://www.w3.org/2000/09/xmldsig#enveloped-signature"></samlsig:Transform>
                </samlsig:Transforms>
                <samlsig:DigestMethod Algorithm="https://www.w3.org/2000/09/xmldsig#sha256"></samlsig:DigestMethod>
                <samlsig:DigestValue></samlsig:DigestValue>
            </samlsig:Reference>
        </samlsig:SignedInfo>
        <samlsig:SignatureValue></samlsig:SignatureValue>
        <samlsig:KeyInfo>
            <samlsig:X509Data>
                <samlsig:X509Certificate>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</samlsig:X509Certificate>
            </samlsig:X509Data>
        </samlsig:KeyInfo>
    </samlsig:Signature>
</samlp:AuthnRequest>

SAML 응답#

IdP가 SP에 보내는 SAML 응답에는 여러 유형이 있습니다. 응답에는 사용자의 NameID와 속성을 포함하는 어설션(Assertion)이 들어 있습니다.

다음은 응답 유형별 표입니다. SAML 어설션은 서명되었지만 SAML 응답 자체는 서명되지 않은 경우를 제외하고 각 응답 유형이 완전히 지원됩니다.

각 유형의 XML 응답 예시는 OneLogin SAML 응답 예시를 참조하세요.

AD/LDAP와의 SAML 동기화 기술적 설명#

AD/LDAP와의 SAML 동기화가 활성화되면 다음 단계에 따라 수행됩니다.

1. Users.AuthService 가 ldap 로 설정된 현재 LDAP 사용자를 Mattermost 데이터베이스에서 가져옵니다. Mattermost 데이터베이스에 대해 실행하는 SQL 쿼리는 SELECT * FROM Users WHERE AuthService = 'ldap' 입니다.
2. Users.AuthService 가 saml 로 설정된 현재 SAML 사용자를 Mattermost 데이터베이스에서 가져옵니다. Mattermost 데이터베이스에 대해 실행하는 SQL 쿼리는 SELECT * FROM Users WHERE AuthService = 'saml' 입니다.
3. LdapSettings.UserFilter 로 정의된 LDAP 서버에서 현재 LDAP 사용자를 가져옵니다. 이는 LDAP 서버에 대해 실행하는 LDAP 쿼리입니다. 사용자는 LdapSettings.MaxPageSize 로 정의된 배치 단위로 가져옵니다.
4. LDAP 속성을 업데이트합니다. 1단계에서 가져온 각 기존 Mattermost 사용자에 대해 3단계의 LDAP 사용자 목록에서 일치 항목을 찾습니다. 일치 항목을 찾기 위해 Mattermost 사용자의 Users.AuthData 필드를 LdapSettings.IdAttribute LDAP 설정과 비교합니다.

• 사용자의 속성이 변경된 경우 해당 속성을 LDAP 서버에서 복사하고 사용자를 업데이트된 것으로 표시합니다.
• 해당 LdapSettings.IdAttribute 를 찾지 못하면 사용자가 LDAP 서버에서 삭제된 것으로 간주하고, Users.DeleteAt 필드를 유효한 타임스탬프로 설정하여 Mattermost에서 비활성화합니다.

5. SAML 속성을 업데이트합니다. 2단계에서 가져온 각 기존 Mattermost 사용자에 대해 3단계의 LDAP 사용자 목록에서 일치 항목을 찾습니다. 일치 항목을 찾기 위해 SamlSettings.Email 을 LdapSettings.EmailAttribute LDAP 설정과 비교합니다.

• 사용자의 속성이 변경된 경우 해당 속성을 LDAP 서버에서 복사하고 사용자를 업데이트된 것으로 표시합니다.
• 해당 LdapSettings.EmailAttribute 를 찾지 못하면 사용자가 LDAP 서버에서 삭제된 것으로 간주하고, Users.DeleteAt 필드를 유효한 타임스탬프로 설정하여 Mattermost에서 비활성화합니다.

자주 묻는 질문#

Mattermost가 사용하는 SAML 메타데이터 XML 파일은 어떻게 얻습니까?#

/api/v4/saml/metadata 의 Mattermost RESTful API 엔드포인트를 호출하여 XML 파일을 얻을 수 있습니다.

그 밖에 유용한 SAML API 호출은 API 레퍼런스를 참조하세요.

API를 사용하여 사용자 속성을 업데이트할 수 있습니까?#

아니요. Mattermost가 사용자 인증에 SAML을 사용하도록 구성된 경우 API를 통해 다음 사용자 속성을 변경할 수 없습니다: 이름, 성, 직위, 닉네임, 이메일, 프로필 이미지 또는 사용자 이름. 이러한 사용자 속성은 SAML이 신뢰할 수 있는 기준 소스여야 합니다.

Mattermost의 사용자 ObjectGUID가 ADFS에서 보이는 값과 다른 이유는 무엇입니까?#

Active Directory Object-Guid 속성(LDAP 표시 이름 objectGUID)은 여러 방식으로 표시할 수 있는 16바이트 배열입니다. 다만 ObjectGUID의 인코딩을 바꾸는 곳은 Microsoft뿐입니다. 나머지는 진법(8진수, 10진수, 16진수)만 다를 뿐 동일하게 유지하며, 다음과 같습니다.

1. ldapsearch linux 명령은 base 64로 표시합니다: Hrz/HqNKnU+lCNTYHx9Ycw==. LDIF 파일에서도 이 형식을 사용합니다.
2. Mattermost가 사용하는 LDAP Golang 패키지는 각 바이트를 역슬래시로 구분한 16진수(16진법) 배열로 값을 출력합니다: \1e\bc\ff\1e\a3\4a\9d\4f\a5\08\d4\d8\1f\1f\58\73

• 역슬래시를 제거(1ebcff1ea34a9d4fa508d4d81f1f5873)한 다음 Golang으로 다음과 같이 파싱할 수 있습니다. 이 스니펫은 각 값의 10진수 표현을 출력합니다: [30 188 255 30 163 74 157 79 165 8 212 216 31 31 88 115]

3. Windows Powershell은 값을 다음과 같이 표시합니다: 1effbc1e-4aa3-4f9d-a508-d4d81f1f5873

relaystate 를 ID 공급자에서 클라이언트로 다시 전달해야 합니까?#

예. 기본적으로 이를 수행하지 않는 공급자와 Mattermost를 연동하는 경우 relaystate 가 활성화되어 있는지 확인하세요. 자세한 내용은 PingIdentity SAML RelayState 문서를 참조하세요.

SAML 로그온 프로세스 문제는 어떻게 해결합니까?#

SAML 연결 문제를 해결하는 데 가장 유용한 도구는 SAML Chrome Panel Chrome 확장 프로그램입니다. 다른 브라우저용 유사 도구는 알려진 바 없지만, 이 도구는 Chrome을 설치할 만한 가치가 있습니다!