node.js - 如何确保多个租户的 SAML 安全？

Question

我是在 IDP 发起的工作流程的背景下进行讨论的。

我正在使用this saml 的 passport 策略。在“Security and signatures ”标题下，建议提供 IDP 的证书。

当我定义策略 AFAIK 时，将插入此证书。

在 Multi-Tenancy 应用程序的情况下，在用户尝试登录之前我无法知道要使用哪个证书，而那时再使用该证书就太晚了，不是吗？ ？

如果在 SAML 请求传入之前我无法知道要使用哪个证书，如何对多个租户的 SAML 请求进行身份验证？

我想我需要这样的东西:

1. 用户发送信息来识别他们尝试登录的租户
2. SAML 策略是使用正确的证书创建的。
3. SAML 流程启动。

或者也许我只是想错了，而这些对于拥有相对安全的登录过程来说并不是真正必要的？

如果这个问题太宽泛，如果您留下评论来帮助我缩小范围，或者引导我找到我应该阅读的资源，我将不胜感激。

<小时/>

如果不清楚，我将存储:

• SSO 网址
• 发行人网址
• 公共(public)证书

此信息链接到租户，因此一旦我从 IDP 获取配置文件信息，我就可以确定用户应定向到哪个租户。我还可以在识别租户后使用此信息来验证事情。

也许我可以使用公共(public)证书进行一些“事后”验证？

Answer 1

不确定这是否有帮助，因为我不熟悉 Passport 。也就是说，当我设计 Multi-Tenancy SAML 服务提供商 (SP) 到身份提供商 (IdP) 数据流时，我在发出 SAML 请求之前实现了 IdP 发现服务。为了使 IdP 发现发挥作用，有几种策略，但似乎总是最有效的策略是将 URL 中的租户名称作为子域，例如租户.yourcompany.com。然后，当在 IdP 发现服务中处理该 URL 时，它可以正确格式化发送给 IdP 服务器的 SAML 请求。希望有帮助。