面向服务商的SSO系统实施

Question

我试图了解服务提供商的SSO系统的实现。这是我的问题。

> < li>

用户登录到系统A。系统A进行验证，并在页面上显示指向用户的链接。当用户单击该链接时，系统A将用户重定向到系统B，其中系统B是第三方供应商。这里谁是IdP，谁是SP？

在从 IdP 到 SP 的流中是否存在任何服务器到服务器通信？是否在所有情况下都需要它？

你能一步一步解释IdP发起的到SP的数据流吗？

关于这一点的任何材料或简单解释都会有所帮助。

Answer 1

在回答您的问题并假设通过安全标记语言 （SAML） 进行 SSO 时：

1. 系统A是身份提供商（IdP），系统B是服务提供商（SP）
2. 没有服务器到服务器的通信。使用HTTP绑定（例如HTTP POST）通过客户端浏览器传递信息
3. 逐步IdP启动的工作流（摘自OASIS SAML V2.0技术概述）：

>

如果用户在IdP上没有有效的本地安全上下文，在某些时候，用户将被要求向IdP站点提供他们的凭据，idp.example.org.

用户提供有效的凭证，并且在IdP为用户创建本地登录安全上下文。

用户在 IdP 上选择菜单选项或链接以请求访问 SP 网站，sp.example.com。这会导致调用 IdP 的单一登录服务。

单一登录服务构建一个SAML断言，表示用户的登录安全上下文。由于将使用POST绑定，所以在将断言放入SAML消息之前，会对其进行数字签名。然后，该消息作为一个名为SAMLResponse的隐藏表单控件放在一个HTML表单中。(如果IdP和SP支持在SP上标识特定应用程序资源的约定，则SP上的资源URL也使用名为RelayState的隐藏表单控件编码到表单中。)单点登录服务在HTTP响应中将HTML表单发送回浏览器。为了易于使用，HTML表单通常会包含脚本代码，这些代码会自动将表单发布到目标站点。

由于用户操作或“自动提交”脚本的执行，浏览器发出HTTP POST请求，将表单发送到SP的断言消费者服务。服务提供者的断言消费者服务从HTML表单获取消息进行处理。必须首先验证SAML断言上的数字签名，然后处理断言内容，以便为SP上的用户创建本地登录安全上下文。一旦完成，SP检索RelayState数据(如果有的话)以确定所需的应用资源URL，并向浏览器发送HTTP重定向响应，指示其访问所请求的资源(未示出)。

进行访问检查以确定用户是否具有访问资源的正确授权。如果访问检查通过，则将资源返回给浏览器。