WSO2 IS - 联合身份验证但使用本地声明

Question

WSO2 IS 5.3.0 我正在使用本地 SAML SP 与联合 SAML IDP 对话（在测试中，配置两个 WSO2 IS 服务器，如https://medium.com/@dehami.deshan/configuring-federated-authentication 中所述-with-saml-sso-using-two-wso2-identity-servers-8dc0d3841a6b ）。

我希望联合 IDP 进行身份验证，但直接使用来自本地 (WSO2) 用户存储的角色/声明。 我在这里缺少任何配置吗？

Answer 1

您应该在联合 IDP 配置中添加角色和声明映射。

这基本上意味着，将联合 IDP 的角色、声明映射到本地角色/声明

请按照本文档中的如何配置角色部分和如何配置声明了解更多信息。

https://docs.wso2.com/display/IS530/Adding+and+Configuring+an+Identity+Provider

Answer 2

由于您想在本地用户存储中使用角色和声明，因此我假设该用户也已存在于本地用户存储中。 由于您想使用联合 IDP 进行身份验证，您可以在本地用户和联合用户之间进行用户帐户关联，并使用用户的声明。

要了解有关在 IS5.3.0 中关联用户帐户的更多信息，请遵循此文档： https ://docs.wso2.com/display/IS530/Associating+User+Accounts

完成帐户关联后，您可以在服务提供商的本地和出站身份验证配置下使用映射的本地主题标识符（此选项将在声明身份时使用本地主题标识符）启用断言身份。 请按照此文档在服务提供商下配置该属性。 https://docs.wso2.com/display/IS530/Configuring+Local+and+Outbound+Authentication+for+a+Service+Provider