Jak zostać dostawcą usług SAML

Dzień Dobry Wszystkim,]}

Moja firma obecnie rozwija aplikację internetową Java. Kilku naszych klientów ma wewnętrzne serwery SAML (dostawcy tożsamości?) i zażądali integracji z nimi. Ostatnio czytałem o tym i bawiłem się OpenAM. Po około 3 dniach od tego mam ogólne zrozumienie tego, ale nadal są pewne luki w mojej wiedzy. Mam nadzieję, że ktoś mi to wyjaśni.

Oto jak sobie wyobrażam przepływ pracy użytkownik logujący się.

Zdefiniujmy naszych klientów SAML server jako https://their.samlserver.com . więc użytkownik przychodzi do naszej aplikacji internetowej po zasób, który jest chroniony. Załóżmy, że adres URL to http://my.app.com/something .

Więc jeśli mam rację, my.app.com to jest to, co SAML definiuje jako dostawca usług . Nasza aplikacja zdaje sobie sprawę, że ten użytkownik musi się zalogować. Następnie przedstawiamy użytkownikowi taką stronę...

<script>JQuery Script to auto submit this form on ready</script>
<form method="post" action="https://their.samlserver.com/Post/Servlet">
    <input type="hidden" name="SAMLRequest" value="someBase64Data" />
    <input type="submit" value="Submit" />
</form>

I to someBase64Data powinna być base64 zakodowana wersja tego...

<samlp:AuthnRequest
  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
  xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
  ID="identifier_1"
  Version="2.0"
  IssueInstant="2004-12-05T09:21:59Z"
  AssertionConsumerServiceIndex="0">
 <saml:Issuer>http://my.app.com</saml:Issuer>
 <samlp:NameIDPolicy
   AllowCreate="true"
   Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"/>
</samlp:AuthnRequest>

Więc moje pierwsze kilka pytań.

Jaka jest wartość ID ?

I dlaczego mogę się zgłosić jako Emitent ?

Widziałem na OpenAM . A jeśli wie o mnie, to skąd wie o mnie i co musi wiedzieć?

Więc po użytkowniku jest przekazywana tej stronie, są one przenoszone na stronę dostarczoną przez IDP https://their.samlserver.com. uwierzytelniają się na tej stronie, a IDP sprawdza uwierzytelnienie i wyszukuje użytkownika. Po pomyślnym uwierzytelnieniu IDP odsyła <samlp:Response> zdefiniowane tutaj.

Jeszcze kilka pytań.

Po pierwsze, w jaki sposób <samlp:Response> wróci do mojej aplikacji internetowej, abym mógł ją sprawdzić?

A czego powinienem szukać w odpowiedź potwierdzająca, że się powiodła? Jak wygląda porażka?

Obecnie używamy adresu e-mail (LDAP) do identyfikacji użytkowników, więc prawdopodobnie pobierzemy go z odpowiedzi i użyjemy go w taki sam sposób, jak teraz. Coś jeszcze powinienem pamiętać w tej odpowiedzi?

Więc teraz, gdy sprawdziliśmy tę odpowiedź pod kątem ważności, możemy przyznać użytkownikowi sesję, tak jak to robimy obecnie. Ale kiedy chcą się wylogować, czy istnieje do tego przepływ pracy? Czy muszę powiadomić IDP, który opuścił użytkownik?

I wreszcie, jest kilka tematów, które zostały rzucone wokół w mojej lekturze i nie jestem pewien, jak one pasują do tego przepływu pracy. Są krąg zaufania, tokeny i artefakty .