技術資料

ローカル環境で動く、SAML認証によるSSO用の SP(Service Provider) を、シンプルな構成で Perl で実装してみる連載第3回です。

前回は、IdP(Identity Provider) に対して認証要求を送信するためのスクリプトを作成しました。

• シンプルなSAML認証用SPの構築：第一回 PerlとNet::SAML2で作るメタデータ生成スクリプト
• シンプルなSAML認証用SPの構築：第二回 PerlとNet::SAML2で作る認証要求送信スクリプト

今回は、IdPからのアサーションを受け取り、ユーザー情報を取得するためのスクリプトを作成します。

アサーション受信スクリプト

IdPからのアサーションを受け取り、ユーザー情報を取得するための Perl スクリプトを acs.cgi という名前で作成します。このスクリプトは、SAML 2.0 の仕様に基づいてアサーションを処理し、ユーザー情報を取得します。

#!/usr/bin/perl
use strict;
use warnings;
use Net::SAML2;
use CGI;
use MIME::Base64;
use Encode;

my $cgi = CGI->new;

# 設定
my $sp_key_file  = '/path/to/your/sp/key.pem';   # SPの秘密鍵ファイルのパス

# Assertion Consumer Service (ACS) - SAMLレスポンス処理
my $saml_response = $cgi->param('SAMLResponse');
die "Missing SAMLResponse" unless $saml_response;

# レスポンスをデコード
my $decoded_response = decode_base64($saml_response);
my $response = Net::SAML2::Object::Response->new_from_xml(
    xml     => $decoded_response
);

# レスポンスの検証
# $response->statusの値をチェックなど
# ここでは検証処理は省略していますが、実際のアプリケーションでは必要です。

# アサーションの取得
my $assertion = $response->to_assertion(
    key_file => $sp_key_file,
);
# in_response_toのチェック
# $assertion->in_response_toをチェックして、期待する値と一致するか確認します。
# 前回のコードの認証リクエストのIDと一致するかどうかを確認することが重要です。
# その他、$assertion->attributes, $assertion->nameid, $assertion->sessionなどを確認。
# ここではチェックを省略。

# レスポンスの内容を表示
use Data::Dumper;
print "Content-type: text/html; charset=utf-8\n\n";
print "<h2>SSO Success.</h2>\n";
print Dumper ($response->status);
print "<hr>";
print Dumper ($assertion);
print "<hr>";
print Dumper $assertion->in_response_to;
print "<br>\n";
print Dumper $assertion->nameid;
print "<br>\n";
print Dumper $assertion->session;
print "<hr>\n";
print Dumper ($assertion->attributes);
print "<hr>\n";

exit;

このスクリプトは、IdPから送信されたSAMLレスポンスを受け取り、アサーションを処理します。アサーションの検証やユーザー情報の取得を行い、結果を表示します。

前回作成した認証要求送信スクリプトで生成された認証要求のIDと一致するかどうかを確認するために、アサーションの in_response_to をチェックすることが重要です。また、アサーションからユーザー情報を取得するために、attributes や nameid などのメソッドを使用します。

スクリプトの実行

ブラウザで前回の認証要求送信スクリプト authn_request.cgi を実行し、IdPのログイン画面で認証を行います。認証が成功すると、IdPはSPのACS URLである acs.cgi にリダイレクトし、アサーションを送信します。

IdPが正しく設定されていれば、acs.cgi スクリプトが実行され、アサーションの内容が表示されます。表示された内容には、認証のステータスやユーザー情報が含まれています。

これで、SAML認証によるSSOの基本的な流れが完成しました。細かい例外処理やセキュリティ対策は必要ですが、基本的な構成はこれで整いました。

まとめ

今回の連載では、Perlを使用してSAML認証によるSSO用のSPを構築する方法を紹介しました。メタデータの生成、認証要求の送信、アサーションの受信と処理まで、一連の流れを実装しました。

実際のアプリケーションでは、セキュリティやエラーハンドリング、セッション管理など、さらに多くの要素を考慮する必要がありますが、基本的な流れはこのようになります。

SAML認証によるSSO対応のWebアプリ開発にご興味はありませんか？

本記事で解説したSP(Service Provider)側でのアサーション受信やユーザー情報取得の処理は、SSO実装に欠かせない重要なステップです。

例えば、ローカル開発環境でのSSO検証、複数IdP対応、アサーション検証やセッション連携の強化など、SAML認証をWebアプリへ組み込むための設計・実装支援が可能です。お気軽にご相談ください。