如何在需要多个idP的多租户子目录系统中设置Shibboleth

Question

我是Shibboleth / SAML的新手，我有以下配置：

1. 单个IIS网站/网址（www.sample.com）
2. 多个子目录，每个子目录代表一个独立的Coldfusion应用程序（www.sample.com/tenant1，www.sample.com/tenant2）
3. 我们的服务器启用了HSTS（需要HTTPS连接）
4. 我们的网址有一个SSL证书。

我需要每个应用程序在Shibboleth中拥有自己的idP的能力。

似乎有一种可能的途径是在IIS中创建映射到子域的唯一网站（tenant1.sample.com，tenant2.sample.com）。但是，这需要对我们的证书进行一些更改，并且看起来是一个维护问题，每次添加租户时都必须在多个技术级别上进行更改。

所以，在我开始追逐最复杂的解决方案之前，我希望有更多经验（任何经验，真的）的人能够分析我当前的架构和需求并提供更好的解决方案（或者只是确认子域解决方案是最好的选择）。