有关SAML的基本说明

Question

我需要实现基于SAML的身份验证模块，我正在寻找与SAML相关的一些基本问题的答案。我试着寻找答案但找不到详细信息。

要保护的资源是基于SaaS的Web应用程序。设计我已收到require4s使用OpenAM，Ping等构建认证模块。任何对Web应用程序的访问都将通过SAML通过认证系统进行认证。

我在这方面的问题是：

1. 如果我理解正确，SAML请求包含用户名。当有人第一次访问Web应用程序时，应用程序没有关于用户的信息，那么它将如何生成SAML请求？

2. 一旦应用程序收到SAML响应，用户对Web应用程序的后续访问是否也需要通过身份验证系统进行路由和验证？

3. Web应用程序可以通过Web服务或api调用与其他子系统进行交互。如何将身份验证上下文传递给这些系统。

Answer 1

1. 不，AuthnRequest不必包含用户名。它可能，但在大多数情况下它没有。
2. 不，一旦收到SAML响应，应用程序通常会设置cookie来创建本地会话。
3. SAML断言可以传递给应用程序使用的其他服务。这是一个非常重要的设置，但可能。