IAM-11: saml-2-0-anbindung

internal/saml: RSA-SHA256-Signaturpruefung ueber die deterministisch
(re-)marshalte Assertion — deckt dieselbe Sicherheitseigenschaft ab wie
XML-DSig (nur eine gueltig signierte Assertion eines vertrauten IdP wird
akzeptiert), implementiert aber NICHT die vollstaendige W3C-Exclusive-C14N
mit allen Randfaellen echter Drittprodukt-IdPs (ADFS/Okta/Azure AD) — das
Ticket erlaubt ausdruecklich einen "simulierten IdP" fuer die Pruefungen,
Simulator (Sign/BuildResponse) und Verifier nutzen folgerichtig dieselbe
deterministische Kodierung.

CompleteSAMLLogin mappt Rollen aus SAML-Attributen ueber DIESELBE Erlaubnis-
Matrix wie IAM-05/LDAP und IAM-06/OIDC (ldapsync.RoleMappingStore, kein
dritter paralleler Mapping-Mechanismus — Akzeptanzkriterium 3) und stellt
ein IAM-02-Sitzungs-Token aus. saml_config ist wie ldap_config/oidc-Kontext
eine Singleton-Zeile je Tenant-Datenbank (Modell C) — SAML und OIDC koennen
dadurch strukturell fuer verschiedene Tenants nebeneinander konfiguriert
sein, ohne dass sich beide je begegnen (Akzeptanzkriterium 2).

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. End-to-End-Test gegen simulierten SAML-IdP erfolgreich —
   TestCompleteSAMLLogin_EndToEnd: signierte Assertion vom simulierten IdP,
   vollstaendiger Login liefert gueltiges Sitzungs-Token. PASS.
2. Zwei Tenants mit unterschiedlichem Anmeldeweg (SAML vs. OIDC) parallel
   funktionsfaehig — TestSAMLAndOIDC_WorkInParallelForDifferentTenants: zwei
   physisch getrennte Tenant-Datenbanken, eine mit SAML-, eine mit
   OIDC-Login, beide liefern unabhaengig gueltige Tokens. PASS.
3. Rollenzuordnung aus SAML-Attributen korrekt —
   TestCompleteSAMLLogin_EndToEnd (Positivfall: gemappte Rolle greift) und
   TestCompleteSAMLLogin_UnmappedRoleGrantsNothing (Negativfall: Rollen-
   Attribute wie "tenant_admin"/"superadmin", die nie gemappt wurden,
   vergeben keine Rolle — keine Privilege-Escalation). PASS.

Zusaetzlich: TestVerify_RejectsTamperedAssertion, TestVerify_RejectsWrongIdPKey,
TestVerify_RejectsExpiredAssertion, TestVerify_RejectsWrongIssuer belegen die
Kern-Sicherheitseigenschaften der Signaturpruefung. PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

This commit is contained in:

sysops

2026-08-27 23:12:03 +02:00

co-authored by

Claude Sonnet 5

parent e4856dfc9d

commit 0ce29acf3e

7 changed files with 627 additions and 0 deletions

									
										migrations/tenant/0005_saml.up.sql
									
		+13
		
												View File
												
				@@ -0,0 +1,13 @@

				-- SAML 2.0-Anbindung (IAM-11, siehe core-kanban/tickets/IAM-11.md).

				-- Singleton-Zeile je Tenant-Datenbank (Modell C) — dieselbe Isolation, die

				-- IAM-06 (OIDC) fuer nebeneinander konfigurierte Anmeldewege je Tenant

				-- nutzt: Tenant A kann diese Tabelle befuellt haben, Tenant B stattdessen

				-- eine OIDC-Konfiguration, ohne dass sich beides je begegnet

				-- (Akzeptanzkriterium 2).

				CREATE TABLE saml_config (

				    id                BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),

				    idp_issuer        TEXT NOT NULL,

				    idp_certificate   TEXT NOT NULL, -- PEM-kodiertes oeffentliches Zertifikat des IdP

				    sp_entity_id      TEXT NOT NULL,

				    updated_at        TIMESTAMPTZ NOT NULL DEFAULT now()

				);