SAML 2.0 IDP с клиентом OIDC, могу ли я иметь SSO, инициированную IDP?

Question

Я использую Keycloak в качестве брокера для моего приложения, защищенного с помощью OIDC. У меня есть несколько IDP SAML 2.0, и они могут хорошо проходить аутентификацию при выполнении SSO, инициируемой SP, но я хотел бы иметь возможность также выполнять SSO, инициированную IDP, например, запуск непосредственно из Okta или GSuite. Я понимаю, что это возможно, если клиент является клиентом SAML 2.0, но мой - OIDC. Так возможно ли инициирование IDP SAML 2.0 для клиента OIDC в ​​Keycloak?

Я добавлю, что я прочитал документы, прочитал сообщения в списках рассылки и выдал неоднозначное «возможно»

Answer 1

OpenID Connect (OIDC) не поддерживает SSO, инициируемый IDP, так же, как SAML 2.0. То, что вы можете сделать, это использовать сторонний SSO, инициируемый SSO, который не совсем совпадает с тем, что напрямую не отправляет пользователя с утверждением в IDP, но позволяет вам запустить SP-init-SSO через стороннего производителя (который может быть ВПЛ в вашем случае).