Инициировано SAMLv2 SP: один поставщик услуг и несколько поставщиков удостоверений - PullRequest
Новая
       2

Инициировано SAMLv2 SP: один поставщик услуг и несколько поставщиков удостоверений

2 голосов
/ 15 декабря 2010

Мне нужно использовать одного поставщика услуг с несколькими поставщиками удостоверений (idps), каждый idp подключается к sp с помощью субдомена, т. Е. http://subdomain1.mysite.com подключается к idp1, http://subdomain2.mysite.com подключается к idp2 и т.Мой URL-адрес службы поддержки пользователей выглядит следующим образом https://mysite.com/SAML/AssertionConsumerService.aspx.

Проблема в том, что мне нужно знать, от какого idp-ответа приходит ответ в коде AssertionConsumerService.aspx, чтобы я мог загрузить нужный сертификат.Я безуспешно перепробовал издателя, адресата и другие способы.

Кто-нибудь знает хороший способ отличить idps от ответа и / или передовой практики?Или есть стандартный способ сделать это?

Я использую http://www.componentspace.com/Products/SAMLv20.aspx

Ответы [ 2 ]

2 голосов
/ 15 декабря 2010

Как вы заметили, если у вас один и тот же URL-адрес ACS для всех IDP, то назначение всегда будет одинаковым в утверждении.

Каждый ВПЛ должен (должен?) Иметь своего уникального Эмитента, по крайней мере, если у каждого из них также есть свой собственный открытый сертификат, с которым он подписывается. По моему опыту, PingFederate и другие серверы обеспечивают правильную загрузку информации о конфигурации при проверке ответа. Не уверен, почему Эмитент не будет работать для вас в этой ситуации.

Вы можете попасть в ситуации, когда «разные» ВПЛ одной и той же компании могут отправлять вам Ответы с одним и тем же эмитентом и разными сертификатами DSIG и AttributeStatements, но в большинстве случаев этого не должно быть.

НТН Ian

1 голос
/ 16 декабря 2010

В нашей системе у нас есть объект, который представляет клиента (мы называем его «доменом обслуживания») и требуем, чтобы клиент идентифицировал этот объект по имени либо как значение элемента Issuer, либо как значение атрибута Issuer SPProvidedID.Конфигурация SAML на нашем конце (SP) связана с этим объектом «домена обслуживания», включая, например, сертификат открытого ключа для проверки их цифровой подписи.

Я бы сказал, что использование значения «Эмитент» более целесообразночем пытаться отключить субдомены.

...