如何使用SAML断言激活OneLogin Protect推送挑战

Question

我发现，要将OneLogin Protect与saml断言一起使用，您需要调用SAML verify factor，而不提供OTP，并在这里阅读类似的问题，但是如果我简单地将它放入一个带有sleep的循环中，用户会受到OTP调用的轰炸，直到他们点击“Accept”。如果用户花了10-20秒拿出手机，而我睡了20秒，这意味着那些可以立即使用手机并在2-3秒内响应的用户，必须等待20秒来弥补较慢的呼叫。

为了解决这个问题，我想在不发送推送通知的情况下检查saml断言验证，而只检查state_token。

我还注意到，如果我不使用SAML断言，我可以这样做，如下所述:https://developers . onelog in . com/api-docs/1/multi-factor-authentic ation/overview，但这需要我授予管理用户或管理API键的所有权限。由于这是一个用于处理aws saml auth的Python cli实用html" target="_blank">程序，无论如何，我们都需要将这些API密钥分发给用户，这对于用户登录aws来说似乎是过多的特权。

有谁知道如何使用 SAMl 断言检查 OneLogin Protect 的 OTP 状态，而无需在每次检查状态时创建新的 OTP 调用？

示例代码

ol_client = OneLoginClient(
    'client_id',
    'client_secret',
    'us',
)
saml_resp = ol_client.get_saml_assertion(
    'ol_username',
    'ol_password',
    'aws_app_id',
    'subdomain'
)
call_result =ol_client.get_saml_assertion_verifying(
    'onelogin_aws_app_id',
    device.id,
    saml_resp.mfa.state_token
)

if call_result is None:

    verify_result = None
    while verify_result is None:
        sleep(1)
        verify_result =ol_client.get_saml_assertion_verifying(
            'aws_app_id',
            device.id,
            saml_resp.mfa.state_token
        )

Answer 1

我现在已经找到答案了。只是忘了更新：

API 在 verifyFactor 终结点中公开一个“消息”字段。当用户对其执行操作处于挂起状态时，它将包含挂起的字符串。

rMfa, err = c.VerifyFactor(token, &pMfa)
for strings.Contains(rMfa.Message, "pending") && timeout > 0 {
    time.Sleep(time.Duration(MFAInterval) * time.Second)
    rMfa, err = c.VerifyFactor(token, &pMfa)
    if err != nil {
        s.Stop()
        return nil, err
    }
    timeout -= MFAInterval
}

我要求每秒检查一次，直到超时到期。完整的实现可以在这里看到：https://github.com/allcloud-io/clisso/blob/master/onelogin/get.go#L133