SAMLv2 SP initiiert: Ein Service Provider und mehrere Identity Provider

Question

Ich brauche einen Service Provider mit mehreren Identity Providern (IDPS) jedes IDP ist mit dem SP verbunden, indem eine Subdomain verwendet, dh verbindet mit IDP1, http://subdomain2.mysite.com verbindet zu IDP2 etc dann sieht meine Assertion Consumer Service URL wie folgt aus: https://mysite.com/SAML/AssertionConsumerService.aspx.

Das Problem ist, ich muss wissen, welche idp die Antwort aus dem Code AssertionConsumerService.aspx kommt, damit ich das richtige Zertifikat laden kann. Ich habe den Herausgeber, das Ziel und andere Mittel ohne Glück versucht.

Kennt jemand einen guten Weg, um IDPS von der Antwort und/oder den besten Praktiken zu unterscheiden? Oder gibt es einen Standardweg?

Ich http://www.componentspace.com/Products/SAMLv20.aspx

Answer 1

In unserem System haben wir ein Unternehmen, das den Client darstellt (wir nennen es eine „Service-Domain“) und verlangen, dass der Kunde das betreffende Unternehmen mit Namen identifiziert entweder als Emittent Elementwert oder der Attributwert "SPProvidedID" des Ausstellers. Die SAML-Konfiguration an unserem Ende (SP) ist dieser Entität der "Servicedomäne" zugeordnet, einschließlich beispielsweise des öffentlichen Schlüsselzertifikats zum Verifizieren ihrer digitalen Signatur.

Ich würde sagen, die Verwendung des Issuer-Werts ist geeigneter als der Versuch, Sub-Domains abzuschliessen.

Answer 2

Verwendung Wie Sie bemerkt haben, wenn Sie die gleiche ACS-URL für alle Vertriebenen haben, dann ist das Ziel immer gleich in der Assertion sein.

Jeder IDP sollte (muss?) Seinen eigenen eindeutigen Aussteller haben, wenn sie auch jeweils ihr eigenes öffentliches Zertifikat haben, mit dem sie signieren. Meiner Erfahrung nach stellen PingFederate und andere Server sicher, dass bei der Validierung einer Antwort die richtigen Konfigurationsinformationen geladen werden. Nicht sicher, warum der Herausgeber in dieser Situation auch nicht für Sie arbeiten würde.

Sie können in Situationen geraten, in denen "verschiedene" IDPs aus derselben Firma Ihnen Antworten mit demselben Aussteller und verschiedenen DSIG-Zertifikaten und Attributstatements senden, aber das sollte in den meisten Fällen nicht wirklich passieren.

HTH Ian