saml - 配置 Ping Federate 和 Spring SAML 以验证应用程序

Question

我在运行 Windows_Server-2008-R2_SP1-English-64Bit-Base-2014.04.09 的 AWS EC2 上安装了 PingFederate。我有一个使用 Spring Security 进行身份验证的 Java 应用程序。

我已阅读有关如何使用 PingFederate 设置身份提供程序 (IdP) 和服务提供程序 (SP) 的信息。我已经收集到 IdP 将是应用程序用户，提供登录凭据(身份)并将其传递给 SP，该 SP 在此页面上的图表中具有除 SP 之外的目标应用程序:

http://documentation.pingidentity.com/display/PF66/Service+Providers+and+Identity+Providers

此图还显示了 IdP 和 SP 两侧的联合身份软件。

我已经使用我的本地 PingFederate 服务器创建了一个 IdP 和 SP，只是为了查看配置选项是什么，我很困惑其中的哪些部分我实际上需要能够为我的 Spring Security 应用程序提供 SSO。

我的问题是:

1. 我是否需要 IdP 和 SP 来实现我正在尝试做的事情。

2. 现在我们的用户名和密码存储在 SQL Server 中，我是否可以利用它让 PingFederate 用于对用户进行身份验证？

3. 我应该为此使用 Spring Security SAML 还是其他途径更合适？

感谢您的帮助，我已经联系了 PingFederate，但我的区域解决方案架构师恰好要到周五才能出门。

如果我完全没有思考，我也很抱歉，我正在努力思考需要什么。

Answer 1

假设您的目标是在 Ping 和您的应用程序之间建立联合(例如，为了外部化身份验证或启用单点登录)，您的想法是正确的。

Ping Federate 充当身份提供者 (IDP)，您可以将其配置为连接到您的 SQL 服务器，以便它可以从那里对您的现有用户进行身份验证。 IDP 与其他称为服务提供商 (SP) 的应用程序进行通信。

因此，为了连接到 Ping，您的应用程序需要能够充当 SAML 2.0 服务提供者，使用 Spring SAML 是实现此目的的一种非常好的方法。

用于单点登录的 SP 和 IDP 之间的典型数据流类似于:

1. 用户访问需要认证的SP应用
2. SP 创建一个 AuthenticationRequest 并将其发送给 IDP(在用户浏览器中使用重定向)
3. IDP 处理请求并对用户进行身份验证
4. IDP 使用 AuthenticationResponse 消息回复 SP
5. SP 处理响应并根据包含的数据为用户创建 session