OpenAM整体理解和SAML

Question

我正在使用OpenAM使用SAML实现SSO解决方案。我是这些技术的初学者，我需要一些澄清。

我的进步

目前，我已经安装了一个Tomcat托管OpenAM作为IdP。 另一个Tomcat适合我的SP。 WebAgent安装在其上。当尝试访问SP的受保护部分时，我被重定向到IdP日志记录页面。输入凭据后，我最终会重定向到资源。这似乎运作良好。

我的问题

• 我的架构只是基于一个简单的SSO，不是吗？

• 如何激活SAMLv2？

• 是否必须在信任圈中的所有服务器上安装OpenAM以允许SAML？我的意思是，它在IdP上似乎很自然，但我是否需要在SP上放置和配置opensso.war？

• 选择的方案是IdP启动的SSO。如果客户端到达IdP Authenticate WS，它是否具有SAML断言？

提前致谢

Answer 1

• 使用代理时，您实际上是依赖于更专有的SSO而不是SAML。确切地说：包含在SAML 1.1中的Liberty ID-FF消息
• Web代理永远不会使用SAMLv2进行通信，因此您需要使用某种SAML SP实现（Java fedlet / .NET fedlet / SimpleSAMLPHP / Shibboleth SP /等）。要启用SAMLv2联合，您还可以按照文档（http://docs.forgerock.org/en/openam/10.0.0/admin-guide/index.html#chap-federation）
进行操作
• 如果Authenticate WS表示/ openam / identity / authenticate REST / JAX-WS端点，则答案为否，但如果您正确启动了IdP上的SAMLv2登录（通过使用idpssoinit端点），那么断言将是提交给SP，其中SP实现可以执行必要的验证并从断言中提取实际数据。