【发布时间】：2022-08-10 13:29:57
【问题描述】：
我有一个关于在 SP 和 IDP 之间建立信任的基本问题。
当我们通过在任一侧上传证书来设置带有 SP 的 IDP 时，通常需要双向信任。
是否必须在 IDP 端配置来自 SP 的签名证书？
此致， 索拉夫
【发布时间】：2022-08-10 13:29:57
【问题描述】：
如果您在 AuthnRequest, 中发送 subject 并且您的 IdP 在提供时使用该信息，则您只需要在 SP 端使用签名密钥对。如果您的 SP 没有发送 subject 属性或者您的 IdP 不会使用它，那么您就不需要它。
【讨论】：
定义的SAML 2.0 specifications 不要求对请求进行签名。
4.1.3.3 <AuthnRequest>由服务提供者下发给身份提供者
...如果需要对请求发布者进行身份验证，则可以对 <AuthnRequest> 消息进行签名。
您可以查看您的身份提供者文档，例如Microsoft Azure AD does not validate signed requests，并且无法上传请求签名证书。
【讨论】：