wso2is 作为带有第 3 方 IDP 发起的 SAML 的 SP答案

【问题标题】：wso2is as SP with 3rd party IDP Initiated SAMLwso2is 作为带有第 3 方 IDP 发起的 SAML 的 SP
【发布时间】：2017-07-06 03:10:05
【问题描述】：

我正在尝试在 wso2is (5.1.0) 上设置我称之为 SAML2 idp 启动的链。下图：

website.com (sp) <--saml2 idp init-- (idp) wso2is (sp) <--POST saml2 idp init-- (idp) 3rdPartyIDP

这个想法是第 3 方想要执行 IDP 发起的 POST saml2 调用以针对我们的内部网站进行身份验证，但任何时候进行 saml2 调用 wso2 只会显示 website.com sp 的登录页面（在 wso2is 上）。我目前使用 3rdParty saml IDP 和其他允许 SP 启动 saml 的 IDP 进行高级身份验证设置，它们按预期工作。

如果我使用链接，则 idp 启动的 SAML2 从 wso2is 可以正常工作：https://wso2is/samlsso?spEntityID=website.com 所以我认为我可以将其用作 3rdParty 站点的 saml 消费者位置，但如上所述，但它最终会出现在 wso2is 登录页面上对于使用 SAMLresponse 作为查询参数的网站 sp，而不是像我期望的那样执行第二个 IDP 发起的对网站 sp 的调用。

我提供给 3rdParty IDP 的消费者 URL 是否正确？ wso2is 甚至可以实现这种流程吗？

【问题讨论】：

标签： wso2 wso2is

【解决方案1】：

https://wso2is/samlsso?spEntityID=website.com 是在这种情况下指向的正确消费者 URL。您还需要执行以下操作。在 WSO2 IS 中配置身份提供者，将第 3 方 saml2 Idp 添加为联合身份验证器。更多详情请参考此网址https://docs.wso2.com/display/IS510/Configuring+an+Identity+Provider

在IS中为website.com添加的服务提供商配置，展开本地和出站身份验证配置。选择联合身份验证，然后从下拉列表中选择您配置的身份提供者。更新服务提供者配置。

【讨论】：

这似乎不适用于 POST 调用，我收到以下消息，似乎这只喜欢做 saml 重定向。基于 SAML 2.0 的单点登录不是有效的 SAML 2.0 请求消息！
在我的消费者网址中发现了一个错字。我还需要添加“fidp=MY_AUTH_REALM”，因为这是使用高级身份验证的特定 sp。感谢您为我指明正确的方向。