Estoy tratando de configurar un SP con el plugin simplesamlPHP para que conecte un entorno de azure active directory con mi aplicación en php.
Ubicándome en la intranet de azure AAD, cuando abro la URL de la aplicación en IE 11 o edge (navegadores requeridos) debería enviarme directamente a la aplicación sin volver a lanzar la ventana de login de azure.
Esta es mi configuración del SP en el archivo authsources.php (--- datos sensibles)
'default-sp' => [
'saml:SP',
'entityID' => '---',
'idp' => '---',
'certificate' => 'saml.crt',
'privatekey' => 'saml.pem',
'discoURL' => NULL,
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',
'simplesaml.nameidattribute' => 'eduPersonTargetedID'
]
Y este es el código de la aplicación php en el que requiero que el usuario esté autenticado:
require_once('../../_include.php');
$auth = new SimpleSAML_Auth_Simple('default-sp');
//$auth->requireAuth(array('isPassive' => true));
$auth->requireAuth();
$datos_autenticar = array();
// Conexión webservice
function conexion_ws($auth)
{
//$auth->requireAuth(array('isPassive' => true));
$auth->requireAuth();
require_once "---";
ini_set("soap.wsdl_cache_enabled", "0");
$sc = new SoapClient($wsdl, array( //Creamos nuevo cliente
'login' => $authuser,
'password' => $authpass,
));
if (empty($sc) || !$sc) {
throw new Exception('Error: 001');
}
return $sc;
}
try
{
$attrs = $auth->getAttributes();
if (!isset($attrs['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0])) {
throw new Exception('Error: 002');
}
$sc = conexion_ws($auth);
$datos_autenticar['id_usuario'] = strtolower($attrs['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name'][0]);
/* Lo que tenga que hacer */
} else {
//Lanza excepción
}
} catch (SoapFault $ex) {
echo $ex->faultcode;
} catch (Exception $ex) {
echo $ex->getMessage();
}
Como se vé, está comentado este método que hacía el sign on silencioso:
//$auth->requireAuth(array('isPassive' => true));
Que es el que probé aunque me devolvía un error de azure:
AADSTS50058: A silent sign-in request was sent but no user is signed in. The cookies used to represent the user's session were not sent in the request to Azure AD. This can happen if the user is using Internet Explorer or Edge, and the web app sending the silent sign-in request is in different IE security zone than the Azure AD endpoint (login.microsoftonline.com).
He intentado esto del isPassive, de conocer primero si el usuario está logado con isAuthenticated() pero no corresponde al entorno de azure. Quizá sea algún parámetro que me falte al configurar el SP.
Alguien sabe como puedo evitar la pantalla de login de azure y utilizar los datos del usuario actual logado?
Muchísimas gracias de antemano.
Saludos