Sự khác nhau giữa SP khởi xướng SSO và IDP khởi xướng SSO

Question

bất cứ ai có thể giải thích cho tôi những gì khác biệt chính giữa SP khởi xướng SSO và IDP khởi xướng SSO là, kể cả đó sẽ là giải pháp tốt hơn để thực hiện các dấu hiệu duy nhất trên kết hợp với ADFS + Liên đoàn OpenAM?

Answer 1

Trong IDP Init SSO (SSO không mong muốn) Quá trình liên kết được khởi tạo bởi IDP gửi một phản hồi SAML không mong muốn tới SP. Trong SP-Init, SP tạo ra một AuthnRequest được gửi đến IDP như là bước đầu tiên trong quá trình Liên kết và IDP sau đó phản ứng với một đáp ứng SAML. IMHO ADFSv2 hỗ trợ cho SAML2.0 Web SSO SP-Init mạnh hơn hỗ trợ IDP-Init của nó: tích hợp với các sản phẩm Fed của bên thứ 3 (chủ yếu xoay quanh hỗ trợ cho RelayState) vì vậy nếu bạn có lựa chọn, bạn sẽ muốn sử dụng SP- Init vì nó có thể làm cho cuộc sống dễ dàng hơn với ADFSv2.

Dưới đây là một số giới thiệu SSO đơn giản từ Hướng dẫn PingFederate 8.0 Bắt đầu mà bạn có thể poke thông qua đó có thể giúp cũng - https://documentation.pingidentity.com/pingfederate/pf80/index.shtml#gettingStartedGuide/task/idpInitiatedSsoPOST.html

Answer 2

IDP khởi xướng SSO

Từ tài liệu PingFederate: - https://docs.pingidentity.com/bundle/pf_sm_supportedStandards_pf82/page/task/idpInitiatedSsoPOST.html

Trong trường hợp này, người dùng đã đăng nhập vào IdP và cố gắng truy cập tài nguyên trên máy chủ SP từ xa. Xác nhận SAML được chuyển đến SP thông qua HTTP POST.

Processing bước:

1. Một người dùng đã đăng nhập vào IdP.
2. Người dùng yêu cầu quyền truy cập vào tài nguyên SP được bảo vệ. Người dùng không đăng nhập vào trang SP.
3. Tùy chọn, IdP truy lục các thuộc tính từ kho dữ liệu người dùng.
4. Dịch vụ SSO của IdP trả về biểu mẫu HTML cho trình duyệt có phản hồi SAML chứa xác nhận xác thực và bất kỳ thuộc tính bổ sung nào. Trình duyệt sẽ tự động đăng biểu mẫu HTML trở lại SP.

SP khởi xướng SSO

Từ tài liệu PingFederate: - http://documentation.pingidentity.com/display/PF610/SP-Initiated+SSO--POST-POST

Trong kịch bản này người dùng cố gắng truy cập vào một tài nguyên được bảo vệ trực tiếp trên một trang web SP mà không bị đăng nhập. Người dùng không có tài khoản trên trang SP, nhưng có tài khoản được liên kết do IdP bên thứ ba quản lý. SP gửi yêu cầu xác thực tới IdP. Cả yêu cầu và xác nhận SAML được trả về đều được gửi qua trình duyệt của người dùng qua HTTP POST.

Processing bước:

1. Người dùng yêu cầu quyền truy cập vào một nguồn tài nguyên SP được bảo vệ. Yêu cầu được chuyển hướng đến máy chủ liên kết để xử lý xác thực.
2. Máy chủ liên kết sẽ gửi biểu mẫu HTML trở lại trình duyệt với yêu cầu SAML để xác thực từ IdP. Biểu mẫu HTML được tự động đăng lên dịch vụ SSO của IdP.
3. Nếu người dùng chưa đăng nhập vào trang web IdP hoặc nếu yêu cầu xác thực lại, IdP yêu cầu thông tin đăng nhập (ví dụ:, ID và mật khẩu) và người dùng đăng nhập.

4. Thông tin bổ sung về người dùng có thể được truy xuất từ ​​kho dữ liệu người dùng để đưa vào phản hồi SAML. (Các thuộc tính này được xác định trước như một phần của thỏa thuận liên kết giữa IdP và SP)

5. Dịch vụ SSO của IdP trả về biểu mẫu HTML có xác nhận xác thực và bất kỳ thuộc tính bổ sung nào. Trình duyệt sẽ tự động đăng biểu mẫu HTML trở lại SP. LƯU Ý: Thông số kỹ thuật SAML yêu cầu trả lời POST phải được ký điện tử.

6. (Không được hiển thị) Nếu chữ ký và xác nhận hợp lệ, SP thiết lập phiên cho người dùng và chuyển hướng trình duyệt đến tài nguyên đích.

Answer 3

SP khởi xướng SSO

SP: "Này, bạn biết Sal?"

IdP: "?! Tôi có ... Oh đúng rồi Yeah, tôi biết Sal"

SP: ". Ok mát mẻ Tôi sẽ cho cô trong"

IdP khởi xướng SSO

IdP: "Này Sal nói với tôi bạn biết cô ấy"

SP: ". Tôi ... Oh yeah Tôi Tôi sẽ cho cô trong"