Цепочная федерация CloudFoundry UAA

Question

У меня есть два экземпляра CloudFoundry UAA, для которых настроены поставщики идентификации SAML и LDAP. Потребители могут аутентифицироваться с использованием гранта authorization_code или client_credentials и получать JWT.

Теперь мне нужно создать еще один экземпляр UAA, который объединяет федерации или цепочки в оба этих UAA. Причиной является то, что я могу использовать единственную точку контакта для моего ресурсного сервера для аутентификации в оба прикомандированных экземплярах UAA. Это также дает мне больше контроля над моим экземпляром UAA, поскольку два дочерних экземпляра обычно принадлежат другим сторонам.

Конечный результат, который я ищу, заключается в том, что я должен иметь возможность аутентифицироваться с помощью IDP SAML/LDAP в дочерних UAA, используя конечную точку auth родительского UAA. Есть ли способ достичь этой федерации?

Answer 1

Да, вы можете добиться этого, объединив оба дочерних UAA с родительским UAA UAA - это IDID OpenID Connect и доверяющая сторона. Делая это, вы добавите IDP для детей в качестве внешнего IDP в родительский UAA, и оба дочерних IDP будут доверять родительскому UAA в качестве доверяющей стороны.

См. Здесь документ о том, как добавлять внешние IDP через API : http://docs.cloudfoundry.org/api/uaa/#oauth-oidc