IDP在现有应用程序中启动SSO实施

Question

我有一个现有的应用程序，突然间我被赋予了一项任务来实现IDP启动的SSO。有一个指向IDP的URL，点击它会要求我使用IDP提供的凭据登录，成功登录后，路径将移动到我们的应用程序，然后我的任务开始识别用户并提供正确的访问权限。我有我们的IDP提供的证书。我怎样才能做到这一点？我的应用程序是Spring MVC Java应用程序。我使用JBOSS AS 7。我以前从未做过类似的事情。有人能一步步清楚地描述一下吗？我看到了Spring SAML扩展，我无法正确理解它，无法将其与我现有的应用程序集成。我们将非常感谢您在这方面提供的任何帮助。

Answer 1

IdP启动的SSO

IdP启动的具有POST绑定的SSO

1. 如果用户在IdP上没有有效的本地安全上下文，在某个时刻，用户将被质询向IdP站点IdP提供其凭据。实例组织
2. 用户提供有效凭据，并在IdP为用户创建本地登录安全上下文
3. 用户在IdP上选择菜单选项或链接，以请求访问SP网站SP.example。通用域名格式。这会导致调用IdP的单一登录服务
4. 单点登录服务构建一个代表用户登录安全上下文的SAML断言。由于将使用POST绑定，因此在将断言放入SAML消息之前，会对其进行数字签名。然后将消息作为名为SAMLResponse的隐藏表单控件放置在HTML表单中。（如果IdP和SP支持标识SP上特定应用程序资源的约定，则SP上的资源URL也会使用名为RelayState的隐藏表单控件编码到表单中。）单一登录服务在HTTP响应中将HTML表单发送回浏览器。为了便于使用，HTML表单通常会包含脚本代码，这些脚本代码会自动将表单发布到目标站点
5. 由于用户操作或执行“自动提交”脚本，浏览器会发出HTTP POST请求，将表单发送到SP的断言消费者服务。服务提供者的断言使用者服务从HTML表单获取消息进行处理。必须首先验证SAML断言上的数字签名，然后处理断言内容，以便为SP上的用户创建本地登录安全上下文。完成后，SP检索RelayState数据（如果有）以确定所需的应用程序资源URL，并向浏览器发送HTTP重定向响应，指示其访问请求的资源（未显示）
6. 进行访问检查以确定用户是否具有访问资源的正确授权。如果访问检查通过，则资源将返回到浏览器

参见saml-tech-overview-2.0

因此，如果要实现SP，必须遵循步骤5和6，否则执行步骤1-4。

对于实现，如果不能使用Spring SAML扩展，可以使用OpenSaml。