SAML无限传播

Question

在我的场景中，我有以下架构元素： - SAML安全门户（域A） - 用户 - SAML安全API（域B，与门户网站不同的域） - IdP
用户将首先登录门户网站，未经过身份验证时，门户网站会将其重定向到身份提供商进行登录。登录到IdP并因此登录到Portal后，Portal将拥有标识用户的SAML令牌。

现在，此门户网站需要自动调用API（存在于另一个域中），并向其传递标识用户的SAML令牌。问题是门户网站只拥有提供给他的令牌，因此我的问题是：

如何通过调用链传播用户的身份？

例如，是否可以在不同的依赖方之间共享相同的令牌？如果是，那么发布的令牌应该遵守哪些约束以确保它可以被不同的实体“共享”？

非常感谢提前！

Answer 1

一种方法可能是门户而不是直接调用API，而应该将用户重定向到API。

这样API将发现用户没有有效会话，将重定向到用户已经过身份验证的IdP。然后，IdP将使用API​​的SAML响应重定向回API。

这对用户来说都是透明的，用户只会看到API的结果。