实施SAML 2.0作为服务提供商，ASP.NET4.5

Question

我很难从各种渠道获得关于如何修改我现有的ASP.NET应用程序(非MVC，如果这很重要的话——基于基于表单的认证的旧web表单)的明确指导，以接受通过SAML的单点登录用户。具体来说，我们希望连接到俄克拉荷马州。我已经让OpenID Connect与Okta一起工作，但是我们的客户特别希望通过Okta使用SAML。我们也希望在未来通过SAML支持其他身份提供者。

我已经在Okta中设置了应用程序，并获得了我的x509证书和元数据，但是我很难从那里开始。我读过很多相互矛盾的信息——一些消息来源说SAML2是内置的。Net 4.5和更高版本，但其他人说它不支持SAML2协议，我还没有找到它不与Azure和ADFS紧密绑定的好例子。我看过这个回购，但显然它不支持SHA256，这是我从Okta得到的。此外，关于该库的文档非常缺乏。我在互联网上搜索的大多数内容似乎都是关于如何在. net上通过SAML实现SSO的过时或矛盾的信息。

Okta 自己的文档专注于 OIDC 或他们自己的 API，将 SAML 实现留给集成商。

有人能给我举一些当前ASP.Net SSO使用SAML2的例子吗？最好是一个web窗体应用程序，而不是MVC。

提前感谢您。

Answer 1

一天结束时，您所要做的就是在您的应用程序中提供一个新的SAMLendpoint并处理进出的东西。它所做的就是检测用户是否在您的应用程序中有会话。如果没有，请使用SAMLRequest将他们重定向到他们的IdP，并等待浏览器使用SAMLACK返回您的ACS（属性消费者服务）endpoint。如果SAMLACK中的属性足够，请将用户登录到您的应用程序中。

SAML 对登录、会话或类似内容一无所知。它只是一个XML包，你用它来管理登录等。

使用用户名/密码登录的常用方式如下:

https://yourapp.com/login

所以SAML可能是:

https://yourapp.com/sso

要支持多个身份提供程序，请添加entityID参数：

https://yourapp.com/sso?entityID=https://some.idp.com/shibboleth

您可以从IdP的元数据加载其登录页面URL，使用entityID参数加载。将浏览器发送到该URL以启动SAML过程。

所以这个过程或多或少是：

< li >用户访问您/sso？entityID=blah endpoint < li >加载entityID的SAML元数据并获取SSO URL < li >使用表单中编码的SAMLRequest将浏览器重定向到SSO URL < li >在ACSendpoint上接收来自IdP的带有编码SAMLResponse的浏览器 < li >解析SAMLResponse以获取SAML属性并检查它们的适用性 < li >让用户登录

您将需要您打算使用的每个IdP的SAML元数据，当您充当SP（服务提供商）时，他们将需要您的应用程序的SAML数据。