本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

如果啟用了單一登錄，則使用 API（PingFederate）

10/01/2025

PDF

如果你有"設定並啟用單一登入（SSO）"並且您使用 PingFederate 作為 SSO 提供程序，則必須發出一系列 API 請求以取得對網格管理 API 或租用戶管理 API 有效的身份驗證令牌。

如果啟用了單一登錄，Sign inAPI

如果您使用 PingFederate 作為 SSO 身分提供者，則適用這些說明

開始之前

您知道屬於StorageGRID使用者群組的聯合使用者的 SSO 使用者名稱和密碼。
如果您想存取租用戶管理 API，您需要知道租用戶帳戶 ID。

關於此任務

若要取得身份驗證令牌，您可以使用下列範例之一：

這 storagegrid-ssoauth.py`Python 腳本，位於StorageGRID安裝檔目錄中(./rpms`對於 Red Hat Enterprise Linux， `./debs`適用於 Ubuntu 或 Debian，以及 `./vsphere`對於 VMware)。
curl 請求的工作流程範例。

如果執行速度太慢，curl 工作流程可能會逾時。您可能會看到以下錯誤： A valid SubjectConfirmation was not found on this Response 。

範例 curl 工作流程不能保護密碼不被其他使用者看到。

如果您遇到 URL 編碼問題，您可能會看到以下錯誤： Unsupported SAML version 。

步驟

選擇以下方法之一來取得身份驗證令牌：
- 使用 `storagegrid-ssoauth.py`Python 腳本。轉到步驟 2。
- 使用 curl 請求。轉到步驟 3。
如果你想使用 `storagegrid-ssoauth.py`腳本，將腳本傳遞給Python解釋器並運行腳本。

出現提示時，輸入以下參數的值：
- SSO 方法。您可以輸入「pingfederate」的任何變體（PINGFEDERATE、pingfederate 等等）。
- SSO 使用者名稱
- 安裝StorageGRID的網域。此欄位不用於 PingFederate。您可以將其留空或輸入任何值。
- StorageGRID的位址
- 如果您想存取租用戶管理 API，請輸入租用戶帳戶 ID。
輸出中提供了StorageGRID授權令牌。現在，您可以將令牌用於其他請求，類似於未使用 SSO 時使用 API 的方式。

如果您想使用 curl 請求，請使用下列步驟。

聲明登入所需的變數。

export SAMLUSER='my-sso-username'
export SAMLPASSWORD='my-password'
export TENANTACCOUNTID='12345'
export STORAGEGRID_ADDRESS='storagegrid.example.com'

若要存取網格管理 API，請使用 0 作為 TENANTACCOUNTID。

若要接收已簽署的身份驗證 URL，請發出 POST 請求 /api/v3/authorize-saml，並從回應中刪除額外的 JSON 編碼。

此範例顯示了針對 TENANTACCOUNTID 的簽章驗證 URL 的 POST 要求。結果將傳遞給 python -m json.tool 以刪除 JSON 編碼。
```
curl -X POST "https://$STORAGEGRID_ADDRESS/api/v3/authorize-saml" \
  -H "accept: application/json" -H  "Content-Type: application/json" \
  --data "{\"accountId\": \"$TENANTACCOUNTID\"}" | python -m json.tool
```
此範例的回應包含經過 URL 編碼的簽章 URL，但不包括額外的 JSON 編碼層。
```
{
    "apiVersion": "3.0",
    "data": "https://my-pf-baseurl/idp/SSO.saml2?...",
    "responseTime": "2018-11-06T16:30:23.355Z",
    "status": "success"
}
```
儲存 `SAMLRequest`從回應中取得用於後續命令的資訊。
```
export SAMLREQUEST="https://my-pf-baseurl/idp/SSO.saml2?..."
```

匯出回應和 cookie，並回顯回應：

RESPONSE=$(curl -c - "$SAMLREQUEST")

echo "$RESPONSE" | grep 'input type="hidden" name="pf.adapterId" id="pf.adapterId"'

匯出“pf.adapterId”值，並回顯回應：

export ADAPTER='myAdapter'

echo "$RESPONSE" | grep 'base'

匯出“href”值（刪除尾部的斜線/），並回顯響應：

export BASEURL='https://my-pf-baseurl'

echo "$RESPONSE" | grep 'form method="POST"'

匯出“動作”值：

export SSOPING='/idp/.../resumeSAML20/idp/SSO.ping'

發送 cookie 和憑證：

curl -b <(echo "$RESPONSE") -X POST "$BASEURL$SSOPING" \
--data "pf.username=$SAMLUSER&pf.pass=$SAMLPASSWORD&pf.ok=clicked&pf.cancel=&pf.adapterId=$ADAPTER" --include

儲存 `SAMLResponse`來自隱藏欄位：

export SAMLResponse='PHNhbWxwOlJlc3BvbnN...1scDpSZXNwb25zZT4='

使用已儲存的 SAMLResponse，建立一個StorageGRID/api/saml-response請求產生StorageGRID身份驗證令牌。

為了 RelayState，使用租用戶帳戶 ID，或如果要登入網格管理 API，則使用 0。
```
curl -X POST "https://$STORAGEGRID_ADDRESS:443/api/saml-response" \
  -H "accept: application/json" \
  --data-urlencode "SAMLResponse=$SAMLResponse" \
  --data-urlencode "RelayState=$TENANTACCOUNTID" \
  | python -m json.tool
```
回應包含身份驗證令牌。

{
    "apiVersion": "3.0",
    "data": "56eb07bf-21f6-40b7-af0b-5c6cacfb25e7",
    "responseTime": "2018-11-07T21:32:53.486Z",
    "status": "success"
}

將回應中的身份驗證令牌儲存為 MYTOKEN。
```
export MYTOKEN="56eb07bf-21f6-40b7-af0b-5c6cacfb25e7"
```
您現在可以使用 `MYTOKEN`對於其他請求，類似於未使用 SSO 時使用 API 的方式。

如果啟用了單一登錄，請退出 API

如果已啟用單一登入 (SSO)，則必須發出一系列 API 請求才能登出網格管理 API 或租用戶管理 API。如果您使用 PingFederate 作為 SSO 身分提供者，則適用這些說明

關於此任務

如果需要，您可以從組織的單一登出頁面登出StorageGRID API。或者，您可以從StorageGRID觸發單一登出 (SLO)，這需要有效的StorageGRID承載令牌。

步驟

若要產生簽署的登出請求，請將 cookie「sso=true」傳遞給 SLO API：

curl -k -X DELETE "https://$STORAGEGRID_ADDRESS/api/v3/authorize" \
-H "accept: application/json" \
-H "Authorization: Bearer $MYTOKEN" \
--cookie "sso=true" \
| python -m json.tool

返回註銷 URL：

{
    "apiVersion": "3.0",
    "data": "https://my-ping-url/idp/SLO.saml2?SAMLRequest=fZDNboMwEIRfhZ...HcQ%3D%3D",
    "responseTime": "2021-10-12T22:20:30.839Z",
    "status": "success"
}

儲存註銷 URL。

export LOGOUT_REQUEST='https://my-ping-url/idp/SLO.saml2?SAMLRequest=fZDNboMwEIRfhZ...HcQ%3D%3D'

向登出 URL 發送請求以觸發 SLO 並重新導向回StorageGRID。

curl --include "$LOGOUT_REQUEST"

返回 302 響應。重定向位置不適用於僅 API 登出。

HTTP/1.1 302 Found
Location: https://$STORAGEGRID_ADDRESS:443/api/saml-logout?SAMLResponse=fVLLasMwEPwVo7ss%...%23rsa-sha256
Set-Cookie: PF=QoKs...SgCC; Path=/; Secure; HttpOnly; SameSite=None

刪除StorageGRID承載令牌。

刪除StorageGRID承載令牌的方式與沒有 SSO 的方式相同。如果未提供“cookie“sso=true”，則使用者將從StorageGRID中登出，而不會影響 SSO 狀態。
```
curl -X DELETE "https://$STORAGEGRID_ADDRESS/api/v3/authorize" \
-H "accept: application/json" \
-H "Authorization: Bearer $MYTOKEN" \
--include
```
一個 `204 No Content`回應表示用戶現在已退出。
```
HTTP/1.1 204 No Content
```

如果啟用了單一登錄，則使用 API（PingFederate）

Creating your file...

如果啟用了單一登錄，Sign inAPI

如果啟用了單一登錄，請退出 API