...
| Observera |
|---|
Eftersom det nya certifikatet kommer med en förnyad nyckel för signering av SAML-biljetten så kommer detta att påverkar alla tjänster (SP/RP) som använder IdP. SP/RP måste se till att ladda ner den nya nyckeln. För SAML-SP betyder det att byta ut IdP-metadata. För OIDC-RP måste förvaltaren kontrollera rutinen för att byta ut denna och vidta åtgärder ifall byte inte sker automatiskt. Läs om strategin för bytet nedan om du ansvarar för en SP och längst ner på sidan för RP/OIDC-information! |
...
| Datum | Miljö | Aktivitet |
|---|---|---|
| TEST/QA | Publicering av nytt metadata för anslutna SP:s (se nedan) |
| TEST/QA | Byte av IdP:ns certifikat och nyckel för signering av biljetter. |
| PRODUKTION | Publicering av nytt metadata för anslutna SP:s (se nedan) |
| PRODUKTION | Byte av IdP:ns certifikat och nyckel för signering av biljetter. |
...
Alla SP:ar förväntas stödja dubbla KeyDescriptors i IdP:ns metadata och ha verifierat detta innan arbetet med certifikatsbytet påbörjas. Detta enligt SP-kraven i IdPns SAML-Profil (
).
En SP som inte har stöd för dubbla KeyDescriptors i IdP:ns metadata kommer att vara tvungen att byta ut sitt metadata i samma stund som IdP:n byter certifikat för att kunna verifiera signeringen av SAML-biljetten efter bytet.
...
I OIDC-världen finns ingen utväxling av metadata som för SAML utan här sker ofta uppdatering av IdP:ns nycklar, som används för signering, automatiskt i bakgrunden. Även här kommer dubbla nycklar att publiceras enligt tidsplanen ovan så att RP:n kan få en sömlös övergång till den nya nyckeln.
Ansvaret ligger dock på den förvaltning som ansvarar för RP:n att säkerställa att funktionalitet finns för att automatiskt hämta båda nycklarna eller vidta manuella åtgärder för att byta ut IdP:ns certifikat.
...