奥克塔肯特。AuthServices IdentityServer3 IDP启动的SSO正在触发SP启动的SSO -错误还是设计？

Question

使用IdentityServer3，Kentor.AuthServices 0.19（带有OWIN中间件）和标准的MVC 4 WebApi 2应用程序，我们遵循了 https://github.com/KentorIT/authservices/blob/master/doc/IdentityServer3Okta.md 的说明，并且似乎我们成功实现了IDP启动的登录。

然而，当我们仔细观察这一点，并使用KentorStubIdp（我们第一次注意到我们被提示提供SAML响应）时，我们发现了以下内容

1. IDP到达我们的endpoint，例如身份服务器/okta/acs，状态303
2. 在我们的应用程序中成功重定向到我们的重定向endpoint，该endpoint被编码为返回重定向到标识服务器授权endpoint，因此var客户端=new AuthorizeRequest（new Uri（标识ServerUrl“连接/授权”））； var returUrlForIdp=client.CreateAuthorizeUrl（“{client_identifier}”、“id_token令牌”、范围ForAuth、主机Url、状态、nonce、acrValue：string.Format（“idp：{0}”，idp），响应模式：“form_post”）；返回重定向（returUrlForIdp）；
3. 这会导致302到标识服务器/连接/授权。似乎这包含了它需要的所有登录信息，我本以为直接进入应用程序会有200个，但我们得到了302到标识服务器/login？ signin=xxx，这给出了一个401，似乎触发了...
4. 对登录endpoint的后续调用将获得303重定向回IDP，这标志着最终成功的SP发起的登录的开始。这意味着它会返回身份服务器/okta/acs，然后是 /callbackendpoint，然后 /connect/authorise然后是用户登录。

我找不到第一次和第二次调用/connect/authorise之间有任何有意义的区别，除了

1. 成功的尝试之前是对标识服务器/回调的调用
2. idsvr和idsvr.session的Cookie似乎没有在第一次调用时设置，但在第二次调用中

此外，Kentor配置设置似乎是有序的-例如AllowUnsolicitedAuthnResponse=true和AuthenticationMode=Microsoft.Owin.Security.AuthenticationMode。被动，尽管最后一个似乎没有任何效果

在这一点上，我只是想弄清楚a）这是否是它应该在幕后工作的方式，b）如果不是，我应该把注意力集中在哪里来诊断问题。

如果IDP发起的SAML请求缺乏信息，是否有一组特定的循环触发Authservice发起SP发起的SAML请求？

非常感谢任何建议。

Answer 1

在SAML2 OIDC中使用Idp发起的登录有点棘手，因为OIDC不支持它。这意味着IdSrv3也不是针对该场景构建的。

你需要的概要是:

1. Idp 向 IdSrv3/AuthServices 发送未经请求的响应。
2. 身份验证服务验证响应
3. IdSrv3 在 IdSrv3 上建立登录会话。
4. 用户被重定向到客户端应用程序的登录 init url
5. 客户端应用程序在 IdSrv3 中启动一个 OIDC 签名。
6. IdSrv3 使用在 3 中建立的会话进行单一登录。
7. 用户被重定向回客户端应用。

看起来步骤 2 有效，但步骤 3 未正确完成。这意味着在步骤 6 中没有会话，因此用户将一直重定向到 Idp 以选取现有会话。这有效，但有些丑陋。如果您以后想要进行单点登录，则存在会话计数不匹配，这可能会导致问题。