SAML Перенаправление специфической IDP (Salesforce против Аркота + PING + Siteminder)

Question

Мы должны поддерживать следующие Authentication потоки

• пользователя 1 журналы в Salesforce с помощью Salesforce по проверке полномочий

• пользователя 2 журналы в Salesforce с использованием учетных данных Аркот + Ping + Siteminder

• пользователя 2 входит в систему пользовательского приложения с использованием Аркот + Ping + Siteminder учетные данные

Поскольку все методы проверки подлинности, описанные выше, являются SAML, мне нужно найти способ решения проблемы с домашним миром, который является необычной «сеткой» потоков аутентификации.

Вопрос

Как я должен настроить IDP и РП для обработки этого сценария?

Как будет работать домашняя область?

Answer 1

Я предполагаю, что у вас установлены настройки My Domains и SAML 2.0 в вашей организации, и вы пытаетесь перенаправить запрос неавторизованной страницы в соответствующий источник аутентификации.

Поскольку вы не можете различать пользователей 1 и 2 в исходном неавторизованном запросе, вам понадобится межстраничная страница, которая запрашивает ввод пользователя, то есть «Позвольте мне войти в систему с именем пользователя/паролем» или «Я вхожу в систему с помощью одного Подпишись". Укажите эту страницу в разделе «URL-адрес входа в систему поставщика удостоверений» в настройках вашего SAML. Если пользователь выбирает имя пользователя/пароль, перенаправьте пользователя на страницу входа в My Domains, где они войдут в систему с un/pw. Если они выбрали SSO, отправьте их в ваш IDP и передайте запрос SAML & RelayState, чтобы инициировать протокол SAML.

Аналогичным образом, неавторизованные запросы к настраиваемому приложению необходимо перенаправить к IDP, чтобы они инициировали SAML. Является ли пользовательское приложение внутри salesforce (как другой таблеток) или размещено вне salesforce? Если пользовательское приложение отделено от salesforce, вам нужно настроить поставщика удостоверений, чтобы он имел 2 RP: один для salesforce и один для этого настраиваемого приложения. Если пользовательское приложение находится в salesforce, как пользователь будет выражать намерение получить доступ к salesforce и пользовательскому приложению?