如何实现或集成SAML和Shibboleth的单点登录

Question

我们有两个独立的产品，都包括Web应用程序和服务器。

我们希望为这两个产品都实现单点登录，这样当用户登录到一个产品时，他可以自动访问属于他的另一个产品中的资源。

我已经探索了一点，发现SAML是我们可以采取的一个很好的方法，但是我们不确定我们想如何进行。

实施我们自己的服务提供商是个好主意吗？我看过Shib SP，但看起来如果我想将其集成到我的产品中，也不会那么容易。

所以我只是向以前遇到过类似问题的人寻求一些建议。

另一个问题是，如果需要使用OpenSaml实现SP，我可以研究哪些资源？看起来我可以参考的教程或示例不多。

如果有人能指出我自己的SP需要包含的一些大程序或组件，我也将非常感激。

编辑1：

试着提供更多关于我想要什么的细节。我们有两种不同的产品。目前，我们能够将用户数据库外部化。例如，我们的产品可以配置为连接到LDAP服务器或任何其他外部用户数据库，只要它们正确实现了服务。

现在我们的目标是我们的两个产品都需要SSO。一种情况是我们在两个产品中都有自己的SP组件（实现或集成）。客户可能有自己的IdP。通过一些配置，我们的SP可以连接到他们的IdP，并从那里进行身份验证，用户无需登录两次即可访问两个产品。当然，如果客户没有，我们可以提供开箱即用的IdP。

Answer 1

我没有Shibboleth服务提供商的个人经验，但我目前正在开发使用Shibboleth IdP、Shibboleth Discovery Service和Guanxi Service Provider的架构。将Guanxi服务提供商的轻量级Guard模块与Java webapp集成是小菜一碟，无需编写自己的模块即可轻松获得基于Shibboleth的架构。有关于设置Guanxi SP的localhost教程，只需跳过关于Guanxi WAYF和IdP的部分，使用Shibboleth组件即可。

Answer 2

如果您只想在两个产品之间实现SSO，我认为是的，从头开始构建东西更容易。如果Java，Shibboleth的OpenSaml是一个非常好的库。

当您开始实现更多的东西和一些复杂的场景时，使用已经构建的东西是最好的选择。您还应该了解可能在每个系统的基础上编写的一些内容（例如断言生成、xml dsig、验证等）。

乍一看，似乎已经构建的产品过于复杂或难以扩展或适应您的特定需求。但是，当您想要扩展所有SAML功能时，您编写连接器和实现的开发工作可以得到回报。

不过，如果你能更详细地解释一下你想要实现什么目标，这将非常有帮助；我觉得你的问题很公开。。。

Answer 3

Shibboleth最大的困难在于它实际上是SAML v2.0规范的参考实现。

不过，对于大多数常规安装，实际上只需要很少的SAML规范就可以为SSO启用几个web应用程序。

但是由于Shibboleth实现了整个事情，凭借其所有功能，它可能需要进行配置。

我们用Shibboleth做了一个项目（诚然，这是一个边缘用例），对我来说，当时是一个SAML新手，让一切正常运行真的是一件苦差事。

在下一步中，我通过Web概要文件查看了SSO的SAML规范。如果您阅读了它，对于这个有限的用例来说，它实际上非常简单。我们决定不再使用Shibboleth，而是使用OpenSAML库编写自己的IdP和SP。

我们能让Shibboleth工作得更快吗？可能但我认为我们不会像自己那样理解它。当然，这里还没有发明一些东西，但当你真正理解软件和词汇时，这些东西就足够令人困惑了，如果你不理解，就更不用说了。SAML充满了新词汇。

您还可以考虑将SimpleSAML用作IdP，并为您的web应用程序编写自己的SP。SimpleSAML在PHP中，但它对用户更加友好。您可以将其视为一个自包含的apache服务。

我会说我们的SP重约1000行javadoc代码，但它主要是将OpenSAML的东西和一些实用程序的东西连接在一起。事实上，这并没有那么可怕。不过，请准备好真正享受阅读签名XML blob。

令人沮丧的是，这并不是一件简单的事，但在收养等方面，这有点像是鸡毛蒜皮的事。

如果这些都不适合你，你可以看看OAuth2和它的一些配置文件。