如何执行跨域基于 SAML 的身份验证/信任

Question

我有一个产品，它由内部 ASP.NET/MVC 网站组成，所有网站都使用 WIF 通过自定义 STS/IdP 服务启用 SSO。我们现在在我们的网络之外的另一个域上托管了一个新的合作伙伴站点，并希望在用户在站点之间导航时为他们启用 SSO。新站点使用不同的技术（例如 python），但我们假设我们可以使用 SAML 标准作为协议创建信任关系。

使用 SAML 作为底层协议，我们假设可以实现这一点，但我们找不到任何关于实施模式、最佳实践指南等的指南...能否推荐一些关于如何建立这种类型的跨域信任的资源?

注意：虽然 OAuth 等其他选项可以解决此问题，但我们更愿意坚持使用基于 SAML 的解决方案

Answer 1

您的自定义 STS/IdP 服务是否支持 SAML？

在 python 方面，他们需要一个 SAML 堆栈。周围有一个数字 - 请参阅 Introduction to OneLogin's SAML Toolkits 例如那里还有一个很好的图表来显示登录流程。

然后您需要获取 python SAML 元数据并将您的自定义 STS/IdP SAML 元数据提供给他们。

双向导入，配置您需要的任何断言，您应该一切顺利。

您还需要整理进入元数据的签名证书。

使用 simpleSAMLPHP 的流程示例 - Configuring the SP

Answer 2

以下提供了 SAML 实现的极好示例： http://www.codeproject.com/Articles/56640/Performing-a-SAML-Post-with-C

我们在项目中使用了它，效果很好。