我们可以使用多个依赖方在ADFS中实现SSO联合吗？

Question

我有一个设置，其中ADFS有多​​个服务提供商（SP），ADFS充当使用Active Directory作为名称ID存储的身份提供商。

现在所需的方案是用户遵循以下步骤： 步骤1：用户尝试访问应用程序1，并由SP1重定向到身份提供程序进行身份验证。 步骤2：身份验证后，用户将被重定向回应用程序以及SAML响应。 步骤3：现在用户想要访问应用程序2，并且SP2将用户重定向到Idp，但她不想被IDP重新认证。我们希望设置单点登录，以便用户无需多次登录。

我们有什么方法可以配置ADFS以便在SP之间建立信任并且不需要身份验证？ 也许有一些配置通知ADFS以便不再要求凭证？

我在Windows Server R12上安装了ADFS2.1作为我的IDP，我将Oracle weblogic服务器作为服务提供商使用。我的应用程序部署在这些weblogic服务器上。

Answer 1

我没有使用Oracle Weblogic作为SP的经验，我的经验是.NET和Windows Identify Framework。但是，如果您已在ADFS中为每个SP设置了依赖部分信任（RPT），则在使用ADFS for SP1进行身份验证后，当您尝试访问SP2时，如果SP将您重定向到ADFS进行身份验证再次，ADFS应该识别您已经过身份验证（由于烹饪访问令牌）并向您发出特定于SP2的SAML响应，而无需进行其他身份验证。在ADFS 3.0（Windows Server 2012 R2）中，多因素身份验证可能正在发挥作用，因此如果不涉及MFA，这将成立。

您是否在经过SP1身份验证后遇到SP2的第二次登录提示？

Answer 2

我发现当我启用额外的IDP时，所有重新身份验证都会再次强制进行IDP选择，从而失去正常的SSO体验。