single-sign-on - SAML 2.0 : How to configure Assertion Consumer Service URL

Question

我正在实现一个使用 Okta 作为身份提供者的 SAML 2.0 服务提供者。我想配置断言消费者服务 (ACS) URL，以便我的服务提供者应用程序中的 SAML 2.0 反射(reflect)在断言中。

但是，我注意到 Okta 身份提供程序改为发送在 Okta 配置中配置的 SSO 端点，并忽略实际发送的 ACS。另外，我收到一个错误，可能来自 SP 的 ACS 与那里的元数据不匹配。

如果 ACS URL 不是向 IDP 发送短 ID 以使其反射(reflect)在断言中的正确方式，那么还有什么其他机制可以用于此目的。

例子:

SP 应用发送的 SAML 2.0 SAMLRequest 是:

assertion_consumer_service_url:
https://host.com:port/saml/consume? entityId=N&myName=用户名

Identity Provider 上的配置具有元数据:

单点登录网址:
https://host.com:port/saml/consume?entityId=N

请注意，myName 从一个请求更改为下一个请求，因为这是我们验证响应是否具有与发送的原始用户名匹配的 name_id 的方式。

此外，如果服务提供者有办法让身份提供者断言一个由 SP 管理的名称(例如用户名)，那么这对我们的需求来说是可以的。如何指定这一点？

谢谢

Answer 1

在 SAML 中，假设 ACS 对于 SP 是静态的。要将响应与原始 AuthnRequest 相关联，您应该保存传出 AuthnRequest 的 ID，然后使用 InResponseTo收到的回复。

SP 可以向 AuthnRequest 添加主题，告诉 IdP 您想要验证的用户名。它在 SAML2 Core spec 的第 3.4.1 节中定义。 .