Las diferencias entre SP iniciaron SSO y desplazados internos iniciaron SSO

Question

Puede alguien explicarme cuáles son las principales diferencias entre SP inició SSO y IDP inicia SSO son, incluyendo lo que sería la mejor solución para la aplicación de inicio de sesión único en conjunción con ¿Federación ADFS + OpenAM?

Answer 1

En IDP Init SSO (SSO web no solicitado), el proceso de federación se inicia cuando el IDP envía una respuesta SAML no solicitada al SP. En SP-Init, el SP genera una AuthnRequest que se envía al IDP como primer paso en el proceso de Federación y el IDP luego responde con una Respuesta SAML. Soporte de IMHO ADFSv2 para SAML2.0 Web SSO SP-Init es más fuerte que su IDP-Init support re: integración con productos de terceros Fed (principalmente girando en torno a soporte para RelayState) así que si tiene una opción, querrá usar SP- Inicia ya que probablemente te hará la vida más fácil con ADFSv2.

Éstos son algunos simples descripciones de SSO de la Guía PingFederate 8.0 Introducción que se puede perforar que pueden ayudar también - https://documentation.pingidentity.com/pingfederate/pf80/index.shtml#gettingStartedGuide/task/idpInitiatedSsoPOST.html

Answer 2

IDP Iniciado SSO

De la documentación PingFederate: - https://docs.pingidentity.com/bundle/pf_sm_supportedStandards_pf82/page/task/idpInitiatedSsoPOST.html

En este caso, un usuario inicia sesión en el IdP e intenta acceder a un recurso en un servidor de SP remoto. La aserción SAML se transporta al SP a través de HTTP POST.

Fases de elaboración:

1. que un usuario ha iniciado sesión en el IdP.
2. El usuario solicita acceso a un recurso SP protegido. El usuario no ha iniciado sesión en el sitio SP.
3. Opcionalmente, IdP recupera los atributos del almacén de datos del usuario.
4. El servicio SSO del IdP devuelve un formulario HTML al navegador con una respuesta SAML que contiene la aserción de autenticación y cualquier atributo adicional. El navegador automáticamente publica el formulario HTML de nuevo en el SP.

SP Iniciado SSO

De la documentación PingFederate: - http://documentation.pingidentity.com/display/PF610/SP-Initiated+SSO--POST-POST

En este escenario un usuario intenta acceder a un recurso protegido directamente en un sitio Web de SP sin ser iniciado la sesión. El usuario no tiene una cuenta en el sitio SP, pero tiene una cuenta federada administrada por un IdP de un tercero. El SP envía una solicitud de autenticación al IdP. Tanto la solicitud como la aserción SAML devuelta se envían a través del navegador del usuario a través de HTTP POST.

Fases de elaboración:

1. el usuario solicita acceso a un recurso protegido SP. La solicitud se redirige al servidor de federación para gestionar la autenticación.
2. El servidor de federación envía un formulario HTML de vuelta al navegador con una solicitud SAML para autenticación del IdP. El formulario HTML se publica automáticamente en el servicio SSO del IdP.
3. Si el usuario aún no ha iniciado sesión en el sitio IdP o si se requiere una nueva autenticación, el IdP solicita credenciales (p., ID y contraseña) y el usuario inicia sesión.

4. Se puede recuperar información adicional sobre el usuario del almacén de datos del usuario para incluirla en la respuesta de SAML. (Estos atributos están predeterminados como parte del acuerdo de federación entre el IdP y el SP)

5. servicio SSO de la IdP devuelve un formulario HTML al navegador con una respuesta SAML que contiene la afirmación de autenticación y cualquier atributo adicional. El navegador automáticamente publica el formulario HTML de nuevo en el SP. NOTA: Las especificaciones SAML requieren que las respuestas POST estén firmadas digitalmente.

6. (No se muestra) Si la firma y la aserción son válidas, el SP establece una sesión para el usuario y redirige el navegador al recurso de destino.

Answer 3

SP Iniciado SSO

SP: "Oye, sabes Sal?"

IdP: "?! Do I ... Oh, eso es bien Sí, sé Sal"

SP: "Ok fresco Voy a ella entrar".

IdP Iniciado SSO

IdP: "Oye Sal me ha dicho que la conoces"

SP: "?.. Yo ... Oh, sí me voy a la dejo en"