SSO Federation Metadatenaustausch mit SAML

Question

Wir sind dabei, unsere JAVA-Anwendung mit SSO Federation zu integrieren. Wir werden Metadaten im SAML2-Assertionsformat erhalten und das gesamte Session-Tracking wird von der SSO-Föderation übernommen. Ich bin nicht klar, wie die Sitzungsverfolgung mit jeder Anfrage in unserer JAVA-Anwendung passiert. Unsere Hauptseite-URL wird in der SSO-Föderation konfiguriert und nachdem Benutzer auf das Link-Steuerelement geklickt hat, kommt es zu unserer Anwendung. Wenn ich also zu einer anderen als der konfigurierten URL navigiere, wie kann der Verband die Sitzung verfolgen? Müssen wir Metadaten für jede Anfrage weitergeben? Wir wurden gebeten, die Homepage-URL und Zertifikatsinformationen zu teilen, und der SSO-Verbund konfiguriert diese in ihrem Portal.

Answer 1

Ein Java-Anwendungsserver überwacht normalerweise eine Benutzersitzung mithilfe eines JSESSIONID-Cookies. Sobald die SAML-Assertion, die von einem IDP (z. B. ADFS) generiert wurde, durch den SP (die Java-Anwendung hier) validiert wurde, wird ein Sicherheitskontext/eine Sicherheitssitzung erstellt, die durch eine JSESSIONID identifiziert wird. Der Browser sendet ein JSESSIONID-Cookie mit Suchanfragen und die Anwendung überprüft es und stellt die angeforderte Ressource/URL bereit.