rest - SAML 和后端 REST 服务身份验证

Question

我有一个这样的应用程序工作流程

(A) User-Agent (浏览器) <-----> (B) App Server <------> (C) REST 服务

假设应用服务器 (B) 是 SAML 服务提供商，并且 user@domain 使用 Web 浏览器 SSO 配置文件从浏览器 (A) 到应用服务器 (B) 进行身份验证。

在 (B) 上运行的应用程序如何以 user@domain.com 身份向 REST 服务 (C) 进行身份验证？
(假设 B 和 C 都是同一 IdP 上的 SAML SP。)

如果浏览器只是对 B 和 C 进行 AJAX 调用，那就很简单了。但是如果直接从应用程序调用 REST 服务，你会怎么做？

我正在努力解决的问题:如果应用程序本身不是 SAML SP，而是与其集成(例如，使用 Shibboleth SP 和 REMOTE_USER header )，您的应用程序可能永远不会看到 SAML 断言。您知道用户已登录并根据 IdP 进行身份验证，但无法获得 SAML 断言以移交给后端服务。

有解决方案还是我不走运？

Answer 1

是的，没有什么可以阻止您的应用服务器 (B) 作为服务提供者接受来自 A 的传入断言并作为身份提供者，发布自己的 SAML 票证并将其转发给 C。

如果您无权访问原始断言，则必须在 B 中发出新断言。如果您确实有权访问原始断言，则可以将其转发给 C，如果 C 配置为忽略限制断言的受众限制只对 B 有效。