Identity Server Saml2AuthExtensions Idp启动的SSO

Question

目前，我们的identity server安装了Sustainsys/Saml2扩展，允许三方客户端通过sso登录到我们的产品，其中客户endpoint击我们的登录页面启动请求。

我们现在有一个客户，您希望在其自己的软件中添加链接以启动该过程，创建ldp启动的请求。

我的问题是如何使用identity server和Saml2AuthExtensions实现这一点。我已经看过了，我看不到任何额外的东西可以让这一切通过。它只是开箱即用，还是我需要设置其他东西？

干杯

Answer 1

SAML2标准支持“Idp启动的登录”，这可以在Sustainsys中启用。Idp上带有AllowUnsolicitedAuthResponse标志的Saml2库。然而，这是一个坏主意，因为idp发起的流在设计上容易受到会话固定攻击。我见过有人让IdentityServer与idp发起的登录一起工作，但这很尴尬，因为IdentityServer不是为支持它而构建的。

使用OIDC方式要好得多。让客户直接链接到客户端应用程序（我假设最终目标是使用OIDC将客户端连接到IdentityServer）。然后在客户端上创建一个endpoint，该endpoint启动对IdSrv的OIDC登录，amr值向IdSrv指示应使用Saml2进行身份验证。这可以提供一个解决方案，其中用户单击链接，转到客户端，重定向到IdSrv，重定向到Saml2 Idp，在那里他们会自动登录（使用Windows身份验证或现有会话）。然后，它们会自动重定向回IdSrv，IdSrv会重定向回目标应用程序。

从用户的角度来看，他们有一个链接可以自动将他们登录到应用程序。