从SP启动的SSO转换为IdP启动的SSO

Question

我是SSO的一名新手，所以如果我的问题没有道理，请告诉我。我们的内部系统目前支持SP发起的SSO。我们已经成功完成了与第三方应用程序的集成，但是我们最新的供应商仅支持由IdP发起的SSO。目前我有什么选择？整合仍然可能吗？我什至不知道从哪里开始，所以对我指出正确方向的任何帮助将不胜感激。 谢谢你的时间。

Answer 1

同意@Kellen，它应该可以正常工作。

您只需要弄清楚“魔术链接”，即将您带到IDP初始屏幕的URL，例如在Azure AD中，该链接会将您带到身份验证屏幕，然后再转到应用程序。

Answer 2

由IdP发起的意味着他们将在IdP处调用一个URL，该URL将自动生成SAMLResponse并将用户返回到具有该响应的应用程序。只要您的SAML堆栈可以接受未经请求的响应（很有可能），您就可以了。

Shibboleth说，如果您正在使用它，那么它将保证能够工作。

您的SAML实现是什么样的？我们需要知道您是如何实现SAML的，以便100％肯定地告诉您，但是您极有可能以相同的方式进行集成，并且这种集成将起作用。

根据我的经验，由IdP发起的SSO似乎会使所有人感到困惑，但实际上并没有什么神秘之处。另外...我发现您的客户端不太可能不支持SP发起的SSO，他们只是不太了解自己的堆栈，无法为您提供正确的端点。在SAML世界中，有很多“卡在盒子里”的思想。