构建 SAML IDP

Question

我们计划建立自己的SAML IDP。我有几个问题：

< li >建立一个有意义吗？ < li >如果是，方法是什么？我没有看到任何用于SAML的Java库。不能使用spring-security-saml，因为它支持集成第三方IDP，而不是构建一个。

Answer 1

这里有一个 SAML IDP 列表。

这里有一个 SAML 堆栈列表。

并且要添加@代码膜答案，您是否计划同时支持SP和IDP发起？

但一般来说，不要。使用现成的产品，或者至少使用可靠的 SAML 堆栈库。

Answer 2

作为从头开始构建SAMLIdP的人，在Java中构建一个主要涉及以下内容：

< li >侦听SAML请求的服务器应用程序，通常在端口443上。你可以用Spring靴来做这个。 < li >向IdP管理的用户显示认证页面的服务器代码。LDAP是一种常用的用户认证方式。 < li >提取已验证用户属性的服务器代码。这可能是LDAP查找，以查找诸如名字、姓氏、电子邮件等属性。 < li >用于决定哪些属性可以发布给请求SP的服务器代码。为此，您可以使用SP的< code>entityID。 < li >将用户属性(例如，从LDAP)转换为SAML属性并发送给SP的服务器代码。

1和4需要解析和创建< code>SAML。你可以使用openSAML。5需要SP可能理解的< code>SAML属性模式。你可以用eduPerson来做这个。

使用SAML和SP需要了解和实现各种SAML配置文件。Web浏览器SSO是一种被广泛使用的浏览器。您可以在此处阅读有关配置文件的信息。

一旦您了解了SAML以及它在流程中的位置，您就需要了解/实现XMLSignature和使用PKI的各种加密主题。

一旦您有了一个工作的、经过测试的IdP实现，您就需要能够解析SAML元数据(PDF ),以便使用SP的公钥证书和元数据中的各种其他URL来验证SP。您还需要使SP元数据保持最新，并创建IdP元数据以发送给SP，以便它可以验证您的< code>SAML 响应，您将对其进行签名。

如果投资回报率不值得那么多的开发，您可以使用“标准”IdP。