如何創建SSO服務提供商？

Question

我是單點登錄概念的新手。 我們已經有一個管理其用戶的Java Web應用程序。 現在要求驗證將由客戶端的SSO Idp（使用SAML）提供，之后請求將轉發到我們的應用程序。 由於我之前沒有實現過這樣的任何內容，因此我需要澄清以下查詢以繼續進行：

1. 如何在SSO IdP驗證后檢查請求？
2. 如何管理會話？ 因為會話將在客戶端創建。
3. 如果他們點擊注銷，最好留在我們的應用程序中或重定向到用戶訪問我們的應用程序？

客戶端有一個內部應用程序，它包含許多應用程序的鏈接，這些應用程序使用相同的SSO IdP。 用戶無法直接訪問互聯網。

任何有助於我理解從IdP方面發起的SSO的教程或起點都會有所幫助。

謝謝。

Answer 1

SSO我通常使用現成的SSO產品，例如OpenAM或shibboleth

1. 這與產品不同，但通常應用程序會安裝一個代理，該代理充當過濾器，檢查用戶是否使用IDP進行身份驗證，如果不是，則過濾器會將用戶重定向到IDP。
2. 通常，SSO產品中存在經過身份驗證的會話，該會話僅保留身份驗證狀態，您的應用程序上仍會有會話以保留特定於應用程序的用戶信息。
3. 這也可以由產品處理。 注銷通常有兩種方法。 通過重定向或SOAP。 通過重定向，用戶被重定向到IDP，然后重定向到其簽名的不同SP。 在SOAP中，您的應用程序對IDP進行Web服務調用，請求注銷。 然后，IDP將注銷請求發送到其他SP。 重定向是推薦的方法。

我建議閱讀Oasis的SAML技術概述

在我的博客上，我有一些帖子介紹了SAML

SAML的簡短介紹

SAML Web個人資料

在我的書“OpenSAML指南”中 ，我也寫了很多