SP发起的SSO与IDP发起的SSO的区别

Question

有人能给我解释一下SP启动的SSO和IDP启动的SSO之间的主要区别是什么，包括哪一个是结合ADFS OpenAM Federation实现单点登录的更好解决方案？

Answer 1

用户比尔：“嘿，吉米，给我看看那份报告”

警司吉米：“嘿，我还不知道你是谁。我们这里有一个流程，所以你先去和国际流离失所者鲍勃核实一下。我相信他。”

国内流离失所者鲍勃：“我看到吉米派你来的。请给我你的证件。”

用户比尔：“嗨，我是比尔。这是我的证件。"

鲍勃：“嗨，比尔。看起来你已经退房了。”

鲍勃的IdP：“嘿，吉米。这家伙比尔检查了，这里有一些关于他的额外信息。你可以在这里做任何你想做的事。”

SP吉米：“好的，很酷。看起来比尔也在我们的已知客人名单上。我会让比尔进来的。”

比尔用户：“嘿鲍勃。我想去吉米家。那边安保严密”。

IDP鲍勃：“嘿，吉米。我信任Bill他退房了，这里有一些关于他的额外信息。你在这里想做什么就做什么。"

SP吉米：“好的，很酷。看起来比尔也在我们的已知客人名单上。我会让比尔进来的。”

我在这里详细介绍，但仍然保持简单：https://jorgecolonconsulting.com/saml-sso-in-simple-terms/.

Answer 2

在IDP Init SSO（未经请求的Web SSO）中，联合过程由IDP向SP发送未经请求的SAML响应来启动。在SP Init中，SP生成一个AuthnRequest，作为联合过程的第一步发送给IDP，然后IDP使用SAML响应来响应。IMHO ADFSv2对SAML2的支持。0 Web SSO SP Init比其IDP Init支持更强大：与第三方Fed产品的集成（主要围绕对RelayState的支持），因此如果您有选择，您将希望使用SP Init，因为它可能会使ADFSv2的使用更加方便。

这里有一些简单的SSO描述，来自平联邦8.0入门指南，您可以浏览这些描述，这些描述也可能有所帮助-https://documentation.pingidentity.com/pingfederate/pf80/index.shtml#gettingStartedGuide/task/idpInitiatedSsoPOST.html

Answer 3

IDP发起的SSO

从平联邦留档：-https://docs.pingidentity.com/bundle/pf_sm_supportedStandards_pf82/page/task/idpInitiatedSsoPOST.html

在这种情况下，用户登录到IdP并试图访问远程SP服务器上的资源。SAML断言通过HTTP POST传输到SP。

处理步骤：

1. 一个用户已经登录到IdP。
2. 用户请求访问受保护的SP资源。用户没有登录到SP站点。
3. 可选地，IdP从用户数据存储中检索属性。
4. IdP的SSO服务向浏览器返回超文本标记语言表单，其中包含包含身份验证断言和任何附加属性的SAML响应。浏览器自动将超文本标记语言表单发布回SP。

SP启动的SSO

来自PingFederate文档：-http://documentation.pingidentity.com/display/PF610/SP-InitiatedSSO——POST-POST

在这种情况下，用户尝试直接在SP网站上访问受保护的资源，而无需登录。用户在SP站点上没有帐户，但有一个由第三方IdP管理的联合帐户。SP向IdP发送身份验证请求。请求和返回的SAML断言都通过HTTP POST通过用户的浏览器发送。

处理步骤：

>

用户请求访问受保护的SP资源。请求被重定向到联合服务器以处理身份验证。

联合服务器将超文本标记语言表单发送回浏览器，并从IdP发出SAML认证请求。超文本标记语言表单会自动发布到IdP的SSO服务。

如果用户还没有登录到IdP站点，或者需要重新验证，IdP会询问凭据（例如，ID和密码），然后用户登录。

关于用户的附加信息可以从用户数据存储中检索以包含在SAML响应中。（这些属性是作为IdP和SP之间的联合协议的一部分预先确定的）

IdP的SSO服务向浏览器返回一个HTML表单，其中包含一个SAML响应，该响应包含身份验证断言和任何附加属性。浏览器会自动将HTML表单发回SP。注意：SAML规范要求对POST响应进行数字签名。

（未显示）如果签名和断言有效，SP将为用户建立会话，并将浏览器重定向到目标资源。