Estoy tratando de implementar servicios SOAP habilitados para SAML por primera vez y tengo algunas preguntas conceptuales sobre el rol de un servicio de token seguro (STS) en una implementación de SAML.¿Necesitamos absolutamente un STS para SAML?
usuario ---> --- Aplicación Web SOAP/SAML -> aplicaciones de mensajería
Básicamente, el escenario es que el usuario inicia sesión en la aplicación web utilizando su nombre de usuario y contraseña, aplicación web a su vez autenticar y autorizar al usuario con un servicio externo, en la autenticación/autorización exitosa, la aplicación web crea una aserción SAML de Sender Vouches con el usuario como sujeto, firma la aserción con su clave privada, empaqueta la aserción en un sobre oculto utilizando WS-S y hace una Llamada SOAP a la aplicación de mensajería. Una vez que la aplicación de mensajería recibe la solicitud, verifica la firma con la clave pública de la aplicación web, retira las declaraciones de autenticación y de atributo de la aserción SAML y, en función de ellas, impone la política de autenticación en el punto final.
Como puede ver en el escenario anterior, no hubo STS externo involucrado, sin embargo, la mayoría de la literatura que he leído en SAML sugiere que se requiere absolutamente un STS. La pregunta que tengo es que estoy haciendo algo mal con el escenario anterior, ya que no veo ninguna razón por la que absolutamente necesito un STS. Seguro que sería bueno tener un STS, pero al menos en mi opinión, la ausencia de esto no me impide implementar SAML para mi caso de uso.
Eso tiene sentido. gracias por tu comentario –