SAML和后端REST服务身份验证

Question

我有一个这样的应用程序工作html" target="_blank">流程

（A） 用户代理（浏览器）

假设应用服务器（B）是一个SAML服务提供者，user@domain使用Web浏览器SSO配置文件从浏览器（A）到应用服务器（B）进行身份验证。

在（B）上运行的应用程序如何向[e-mail]的REST服务（C）进行身份验证？（假设B和C都是同一IdP上的SAML SP。）

如果浏览器只是对B和C进行AJAX调用，那么就很简单了。但是，如果直接从应用程序调用REST服务，您会怎么做？

我正在努力解决的问题是：如果应用程序本身不是SAML SP，而是与之集成的（例如，使用Shibboleth SP和REMOTE_USER标头），您的应用程序可能永远不会看到SAML断言。您知道用户已登录并针对IdP进行身份验证，但无法将SAML断言传递给后端服务。

有解决办法吗？还是我运气不好？

Answer 1

既然您说App Server B和REST service C都是具有相同SAML IdP的SAML SP，那么您必须已经有了一种机制，允许web客户端通过SAML web浏览器SSO配置文件直接（独立于B）对C进行身份验证，对吗？当这个“登录工作流”完成时，API客户端有一个auth令牌，它表示[e-mail]由IdP X验证以使用SP C”，并可用于在一段时间内验证对C的调用（直到验证令牌过期）。

但B和C是独立的服务。如果他们有不同的SAML服务提供商EntityID在同一IdP X中注册，那么IdP X不会认为这些语句是等效的：

1. [e-mail]由IdP X验证是否使用SP C
2. [e-mail]由IdP X验证是否使用SP B

因此，服务B不应该使用表示上述语句2的身份验证令牌（可以从其自己的SAML SSO登录工作流中获得）来获取表示上述语句1的身份验证令牌（只能从C的SAML SSO登录工作流中获得）。服务B也不可能在不失去对工作流的控制的情况下，将API客户端“传递”到服务C SAML SSO登录工作流。

另一方面，如果B和C在IdP中注册了相同的SAML服务提供商entityID，那么上面的语句1在逻辑和安全方面与上面的语句2等效。在这种情况下，最简单的解决方案是服务B和C使用相同的身份验证令牌系统。这实际上是唯一可行的方法，因为如果B和C具有相同的SAML SP entityID，那么IdP将仅为B和C配置一个ACS URL，这意味着就IdP而言，它们实际上是一个相同的SAML SP。

Answer 2

是的，没有什么可以阻止您的应用程序服务器（B）既作为服务提供商接受来自a的传入断言，又作为身份提供商，发布自己的SAML票证并转发给C。

如果您没有访问原始断言的权限，则必须在B中发出新的断言。如果您确实有访问原始断言的权限，则可以将其转发给C，如果C被配置为忽略限制断言仅对B有效的访问群体限制。