使用Shibboleth IdP的Web浏览器SAML SSO（无反向通道通信）

Question

我刚刚用我的web应用程序配置了Shibboleth IdP3.2，该应用程序根据后端的LDAP服务器对用户进行身份验证。

我可以在本地机器上测试这个身份验证过程。但是，在CI服务器上部署代码时，我意识到身份验证过程无法成功完成。

此故障背后的原因是服务提供商（SP）无法访问（IdP）。根据我们最初的调查，我们选择SAML作为身份验证协议，而不是CAS等其他协议，因为它不需要反向通道通信。只要用户能够访问SP和IdP，身份验证过程就仍然可以工作。（SP和IdP无需相互作用）

在测试中，我们发现属性解析是成功的，但后续的工件解析是失败的。在工件解析中，IdP直接联系SP并期望得到响应。SP无法向IdP发送响应，因为它无法访问。因此，身份验证失败。（Tomcat日志显示：unknownHostException）

从本链接的流程图中可以看出，Web浏览器SSO中的一些SAML流不需要SP和IdP之间的直接通信。

Shibboleth IdP是否为此类实现做出了规定？是否有办法在没有任何反向通道通信的情况下实现Shibboleth IdP？

解决方案：

正如Stefan所提到的，有一些替代绑定，如HTTP重定向和HTTP-POST，它们不使用反向通道通信。您可以在此处阅读有关这些绑定的更多信息

我更改了SP元数据，将HTTP-POST作为默认绑定，引用了此链接。

我不必对Shibboleth IdP配置进行任何更改，因为这些替代绑定已经得到支持，元数据文件证实了这一点。

Answer 1

根据本文档，您可以设置outgoingBindings属性来设置要使用的首选绑定。

我还建议从SP元数据中删除HTTP工件绑定。