使用SSO时需要密钥库的原因（SAMLv2）

Question

我使用Okta作为我的IDP，我有2个用例：

1. IDP发起的SSO
2. 当用户想要使用他的okta凭证登录我的系统时，我会将他重定向到okta，然后将响应发送到我的应用程序中的回调。

我想知道为什么我需要密钥库？怎么用？ 从SP（我的应用程序）到IDP的消息将使用此密钥库密钥对进行加密？如果是这样，那是不是意味着我需要以某种方式与okta分享我的钥匙？ 我无法找到任何解释。

对此有任何帮助！ 谢谢！

Answer 1

SAML 身份提供商（“IdP”）发送的响应（如Okta）将使用Okta的私钥进行签名，这些消息将由SAML 服务提供商（“SP”），就像使用相应的公钥的应用程序一样。

在您的情况下，密钥库只应用于Okta的公钥（或公钥，如果您与多个Okta组织联合）。您不需要与Okta共享任何密钥，但您需要以某种方式从Okta获取公钥。从Okta获取公钥的最佳方式是通过IdP元数据URL，下一个最好的方法是让Okta管理员以某种方式将Okta的X.509编码公钥粘贴到您的应用中。