SAML SSO：一个 SP 元数据文件能否用于 5 个运行同一应用程序的独立 SP

Question

我的应用程序现在使用 Spring Security SAML 扩展作为 SAML 2.0 的服务提供者运行。我与身份提供者（ssocircle）交换了 IDP/SP 元数据文件，SSO 工作正常。

但是，我的应用程序应该部署在 N 台机器上，并且业务要求部署/机器对的数量是动态的（从 1 到 20）。

我是否必须为每个部署/机器拥有一个 SP 元数据文件并在 IDP 中注册每个 SP 元数据文件以将其添加到他的信任圈中，或者有没有办法拥有一个可以包含信息的 SP 文件关于所有服务器，因为它是同一个部署单元但不是同一个实例。

也就是说，如果我有 5 台机器（MyApp1、MyApp2、MyApp3、MyApp4、MyApp5）安装同一个应用程序，SP 元数据文件可以创建一次而不是 5 次。 这样，我会向 IDP 注册 1 个 SP 元数据文件，而不是拥有 5 个 SP 元数据文件（唯一的区别是机器的 URL）：

另外，当用户在 MyApp1 上进行身份验证时，是否有办法在其他服务器（MyApp2、MyApp3、MyApp4、MyApp5）上进行身份验证？

Answer 1

只要应用程序位于不同的 URL，您就应该为每个应用程序使用单独的元数据。

您可以使用一个技巧并使用 SAMLContextProviderLP 为每个应用程序配置一个虚构的方案、主机和端口（即假设所有 5 个应用程序都使用相同的公共 URL）。但这意味着来自 IDP 的相同断言可用于登录这 5 个应用程序中的任何一个。如果您想走这条路，请查看 Spring SAML 手册关于反向代理和负载平衡的章节。