authentication - saml IDP/SP 如何与 auth0 配合使用？

Question

我试图通过遵循此 auth0 教程来了解 SAML 和 IDP/SP 模型。

https://auth0.com/docs/protocols/saml/samlsso-auth0-to-auth0

在本教程中，您将创建两个 auth0 租户。

第一个租户(租户 1)是服务提供商，第二个租户(租户 2)是身份提供商。

在我们设置第二个租户的部分中，我无法理解这一行中描述的内容:

In this section you will configure one Auth0 tenant (tenant 2) to serve as an Identity Provider. You will do this by registering an application, but in this case, the 'application' you register is really a representation of tenant 1, the SAML Service Provider.

我对此感到困惑，因为我认为服务提供商本质上是您需要通过 IDP 访问的所有不同应用程序的包装器。因此，根据我的解释，我认为我们创建的应用程序将存在于第一个租户内。

有人能解释一下为什么在这个示例中我们设置 IDP 来包含应用程序以及它如何代表服务提供商(租户 1)吗？

Answer 1

同意这篇文章有点令人困惑。

关键是“在此步骤中，您将测试示例 HTML 应用程序，该应用程序使用您在租户 1 中设置的 Auth0 SAML 连接，通过 SAML 针对充当 SAML 身份提供商的租户 2 执行 SSO。”

在SAML中，有两种SP。

SP 可以是应用程序，因此路径为:

应用程序 --> SAML IDP

或者您可以拥有 SP-STS(安全 token 服务)，即充当 SP 的中间 IDP。

这里的路径是:

应用程序 --> SAML SP --> SAML IDP

基本上，SAML SP 只是传递。

通常情况下，当您进行身份验证时，应用程序会重定向到 STS。您可以在这里进行身份验证。但是，如果此 STS 知道上游有另一个 STS，它将通过 Home Realm Discovery 询问您要使用哪个 STS。