SAML SSO它是如何工作的？

Question

假设我们有一个名为托管在tomcat上的服务提供商应用程序，用户单击指向SP a的链接。SP a没有看到提供的令牌，因此它会将用户重定向到IdP进行身份验证（通过某种方式提供SAML Authn请求）。然后，IdP将用户重定向到提供凭据的某个公共登录页面，假设这些凭据正确，IdP将创建一个SAML响应，其中包含一个令牌和一些关于主题的断言，并将其发送回SP a。SP a看到了这一点，并允许用户访问应用程序。太棒了

不过我有几个问题

1. 授权请求/响应是如何发送的，我知道有一个重定向绑定和一个POST绑定，其中SAML响应和请求被编码为查询参数，或者在POST绑定的情况下作为XHTML表单发送。但我不确定在哪里使用？
2. 服务提供商是提供服务的东西，例如Office 365或Salesforce。每个都是单独的服务提供商吗？我在看视频时问，那个人说服务提供商是托管这些服务的东西，所以我不确定这里的正确答案？
3. 令牌如何存储在客户端？例如，我现在针对SP A进行了身份验证，然后用户尝试从同一台机器/浏览器窗口使用SP B，SP B和IdP如何知道用户已经通过身份验证，因此不需要重新验证。即它的SSO方面。
4. SP B是否需要托管在同一个tomcat实例上才能工作？

Answer 1

根据我自己的经验：

>

您可以根据idp和sp支持的内容选择自己的示例绑定（重定向或post）。此绑定类型将用于第一步（SP-

Office 365和Salesforce。com是云服务，对吗？让我们开始365办公吧。这意味着除了“最终用户”服务（如Word、Excel）之外，还有一些平台通用的技术SSO服务。可以将其视为较低（或技术）的服务层，我认为这是您所说的意思。

SAML令牌由SP应用程序存储在浏览器中，隐藏在网页、cookie或web存储中。这取决于SP的实现方式。

SAML响应可以由每个SP基于共享私钥进行验证，因此它将使用此密钥解密令牌，并且能够在没有IdP重定向的帮助下授予用户。

Answer 2

我花了大量时间让SSO为我工作。最有用的文档是本规范

以下答案基于这一经验：

1. 重定向或Post绑定的使用取决于相应的HTTP请求标头。建议使用Post绑定，因为它不意味着对传输的数据量的限制。
2. 在这种情况下，服务提供者是客户端请求的任何内容。他们中可能有许多人参与同一个SSO方案。
3. 服务提供商必须了解SSO，其中包括处理身份验证响应数据。通常您不必实现协议-您的SP可以使用现成的框架。
4. 服务提供商可能驻留在不同的服务器上。