联合/可信 SAML2 和 OAuth2 场景中的 WSO2答案

【问题标题】：WSO2 in a federated/trusted SAML2 and OAuth2 scenario联合/可信 SAML2 和 OAuth2 场景中的 WSO2
【发布时间】：2018-04-11 08:17:24
【问题描述】：

我们有一个使用 SAML2 实现 SSO 的大型迁移项目。一个 WebLogic 10.3.6 容器充当身份提供者 (idp)，所有其他 weblogic 容器都配置为服务提供者 (sp)。我们希望保持这种情况不变。新的或迁移的应用程序使用 SSO 场景，将 WSO2 作为身份提供者，并通过 OAuth2 提供 SSO 服务。

是否可以将 WSO2 中的旧（weblogic）SAML2 idp 定义为受信任的 idp，并使用 SAML2 和 OAuth2 实现整体 SSO 场景 - 保持 weblogic idp 和 sp 不变？

如果这不可能，另一种解决方案可能是从旧场景中提取 idp 并将 WSO2 配置为 SAML2 idp 和 OAUth2 服务，反之亦然交换/转换令牌。但是所有旧的 weblogic 服务提供者都必须被触及（使用 WSO2 SAML2 idp）....

感谢任何帮助 ;-) 干杯汤姆

【问题讨论】：

标签： oauth-2.0 wso2 saml-2.0

【解决方案1】：

是否可以将 WSO2 中的旧（weblogic）SAML2 idp 定义为受信任的 idp，并使用 SAML2 和 OAuth2 实现整体 SSO 场景 - 保持 weblogic idp 和 sp 不变？

在大多数情况下是可能的。对于 SAML，它更容易，因为它是一个非常严格定义的标准，所以在您定义正确的主题名称、主题名称格式和断言之前，一切顺利。

请注意 - 服务提供商需要更改端点配置，因为 SSO/SLO 端点会有所不同。但是我认为这是配置，并没有真正改变服务提供者应用程序

问题可能出在 OAuth 上。令牌服务和用户信息服务响应没有那么严格地定义（或实现）。您必须检查您的 SP 是否可以毫无问题地使用响应（在我见过的大多数情况下，您需要向 userinfo 服务添加一些用户属性）

【讨论】：