IDP如何连接到SSO中的endpoint应用程序？

Question

这是我第一次与SAML一起在SSO中工作。我们将使用HTTP Post方法，IDP是salesforce。我从网中跳到了下面几步。

1. 用户首次访问自定义应用程序
2. 服务提供商安全筛选器检查安全上下文是否可用，并使用SAML SSO请求将用户重定向到IDP
3. IDP使用身份验证对话框质询用户，并在用户进行身份验证后重定向用户请求断言消费者服务（RACS）
4. RACS验证来自IDP的响应，建立安全上下文并将用户重定向到原始应用程序endpoint
5. 服务提供商安全筛选器强制确保有效的安全上下文可用，并允许用户访问自定义应用程序

这里我的问题是IDP需要验证应用程序endpoint。这里，SAML在公共网页与IDP之间播放，以启动SAML请求/响应。那么IDP如何连接到endpoint？是否遵循任何其他语言来连接和验证endpoint？否则它是如何连接的？你能请人解释一下这个概念吗？

Answer 1

在您的身份提供程序中配置SAML期间，您定义了一个断言消费者endpoint，这是您的应用程序中的一个URL，您希望在其中接收来自IDP的响应。身份验证后，IDP通过向其发送SAML响应消息来连接到此endpoint。IDP通常通过对SAML消息进行数字签名来对endpoint进行身份验证，然后您对其进行有效性和信任验证。

在IDP和SP之间发送SAML消息的方式（=将IDP连接到endpoint）称为绑定。绑定定义了如何准确地使用现有协议（例如HTTP）来传递SAML消息，即它告诉应该发送哪些参数，应该使用哪种HTTP方法...绑定是SAML 2.0标准的一部分，您可以在SAML 2.0规范中找到有关它们如何运行的详细信息。

IDP不会直接与您应用程序中的原始URL（即“原始应用程序endpoint”）通信。在成功验证SAML响应（在断言消费者endpoint接收）后将用户发送到正确目的地的过程可以由您完全确定。例如，如果断言消费者endpoint和“原始应用程序endpoint”是同一应用程序的一部分并共享安全上下文，您可以简单地发送HTTP重定向，而无需在此“最后一英里”中使用SAML。