Как я могу перенаправить SAML на правый IdP?

Question

Мы хотим обеспечить бесшовный доступ для всех наших пользователей к издателям SP. SP являются независимыми и предоставляют услуги многим различным компаниям, то есть каждый из нас имеет независимые решения IdP.

Мы хотим, чтобы он работал так, как будто аутентификации не было, т. Е. Пользователь нашел ссылку в Интернете и следил за ней. Если сайт предоставляет специальные услуги (за которые мы платим) за наших пользователей, мы хотели бы, чтобы они использовали наш собственный IdP (но только для наших собственных пользователей) для их аутентификации.

Наша текущая установка SAML требует, чтобы SP поддерживал распознавание IP-адреса и/или использовал определенные имена доменов, то есть пользователь получал доступ к определенному доменному имени или пришел из наших диапазонов IP-адресов, поэтому SP знает, какой IdP перенаправить на но если наш пользователь приходит с любого другого IP-адреса и не имеет доступа к определенному URL-адресу, система потеряна.

Как это решить?

Я думаю, что cookie, предоставленный SP каждый раз, когда пользователь получает аутентификацию (из нашей сети, которую распознает SP), может решить это, но является ли это стандартом? И это не решение, так как оно требует, чтобы наши пользователи посещали их хотя бы один раз из нашей сети!

Answer 1

Это не так много вопросов SAML, поскольку это проблема обнаружения поставщика удостоверений, которая не относится к протоколу. Как издатель должен знать/решать, что конкретный пользователь должен быть перенаправлен на ваш IdP через SAML или любой другой протокол? Это не приемлемая проблема в общем смысле. Издатель, и вам нужно будет договориться о заключении контракта между двумя организациями (вы и этими издателями), когда речь заходит об этих специальных пользователях/услугах.

Возможна реализация IdP-обнаружения, которая не включает домены или диапазоны IP, - это динамический поиск IdP на основе идентификации пользователя. Пользователь нажимает на ссылку, переходит на сайт издателя и пытается войти в систему (например) с его именем myname@mycompany.com. Затем издатель может выполнить поиск mycompany.com в своем хранилище личных данных специальных пользователей/служб/IdP и определить, что этому пользователю не разрешается входить в систему с использованием локальных (управляемых издателем) учетных данных. Вместо этого пользователь должен быть отправлен в сторонний IdP через запрос аутентификации SAML. Издатель может сделать это во время входа пользователя в систему, но перед тем, как пользователь сможет ввести свои учетные данные, управляемые издателем, будь то ваш любимый метод AJAX или какая-либо другая форма удовлетворения пользовательского интерфейса.

Издатель может использовать постоянный файл cookie, чтобы в следующий раз, когда этот пользователь пришел к этому издателю, они узнают, что этот пользователь «принадлежит» стороннему IdP и перенаправляет соответственно.