SAML 2.0回應

Question

我正在研究基於SAML 2.0的SSO集成。 除了1件事，我幾乎可以端到端地進行集成。 SP正在將SAML身份驗證請求發送到IDP，而IDP正在使用SAML身份驗證響應進行響應。 這里的IDP是CA Siteminder，SP是JBoss 5.1上的Picketlink。 但是，應用程序本身（配置為SP）如何知道用戶已被IDP認證。 那會自動發生嗎？ 如何防止應用程序再次提示用戶？ 我相信，我應該禁用應用程序中已經擁有的所有身份驗證機制嗎？ 這是真的嗎，或者還有其他方法嗎？

Answer 1

SP不知道用戶是否具有活動的IDP會話。 如果沒有本地SP會話，則您的應用程序將向IDP發出AuthnRequest。 如果用戶已經通過IDP上的活動會話登錄，則IDP通常會生成新的SAML響應供SP使用，而無需提示用戶再次登錄（因為他們有活動會話）。 如果提出AuthnRequest的用戶沒有活動的會話，則取決於IDP來正確認證用戶並將SAML響應發送回SP。

此流程假定您沒有SP應用程序的本地登錄功能，並且用戶必須通過IDP來登錄。 如果您具有本地登錄名，那么嘗試找出哪些用戶在何時何地進行身份驗證會變得更加復雜。

HTH伊恩