为什么在使用 SSO (SAMLv2) 时需要 Keystore

Question

我使用 Okta 作为我的 IDP，我有 2 个用例：

1. IDP 发起的 SSO
2. 当用户想要使用他的 okta 凭据登录到我的系统时，我将他重定向到 okta，然后 okta 将响应发送到我的应用中的回调。

我想知道为什么我需要密钥库？它是如何使用的？ 从 SP（我的应用程序）到 IDP 的消息将使用此密钥库密钥对加密吗？如果是这样，这是否意味着我需要以某种方式与 okta 共享我的密钥？ 我找不到任何解释。

对此有任何帮助！ 谢谢！

Answer 1

从像 Okta 这样的 SAML 身份提供商（“IdP”）发送的 SAML 响应将使用 Okta 的私钥进行签名，这些消息将通过 SAML 服务提供商（“SP”）使用相应的公钥为您的应用程序提供类似服务。

在您的情况下，密钥库应仅用于 Okta 的公钥（或公钥，如果您与多个 Okta 组织联合）。您不需要与 Okta 共享任何密钥，但您需要以某种方式从 Okta 获取公钥。从 Okta 获取公钥的最佳方式是通过 IdP 元数据 URL，下一个最佳方式是让 Okta 管理员以某种方式将 Okta 的 X.509 编码公钥粘贴到您的应用中。