web-services - 我们绝对需要STS来进行SAML吗？

Question

我正在尝试首次实现启用SAML的SOAP服务，并且我对安全 token 服务(STS)在SAML实现中的作用有一些概念性问题。

用户---> Web应用程序--- SOAP/SAML->消息传递应用程序

基本上，该场景是用户使用其用户名和密码登录Web应用程序，然后Web应用程序又使用外部服务对用户进行身份验证和授权，在成功进行身份验证/授权后，Web应用程序将创建一个Sender Vouches SAML断言，其中用户为主题使用私钥对断言进行签名，使用WS-S将断言打包在肥皂信封中，并对消息传递应用程序进行SOAP调用。消息传递应用程序接收到请求后，将使用Web应用程序的公钥验证签名，将身份验证和属性语句从SAML声明中拉出，并基于它们在端点上强制执行身份验证策略。

如您所见，在上述情况下，没有涉及外部STS，但是我阅读的有关SAML的大多数文献都建议绝对需要STS。我的问题是，在上述情况下我做错了什么，因为我看不到任何绝对需要STS的原因。当然，拥有STS会很好，但是至少在我看来，缺少STS不会阻止我为我的用例实现SAML。

Answer 1

不，您不需要Web服务中SAML token 的STS。 STS将一个 token (其中“ token ”包括用户名+密码之类的东西)交换为另一个 token ，因此它很有用，因为您的Web服务使用者可以发送一些输入 token (通常是用户名+密码或签名+ X.509证书)，以方便使用。案例)发送到STS并取回SAML断言，一切准备就绪。

现在，如果您具有创建将被Web服务提供商接受的SAML token 的能力，那就大功告成!无需STS-线上的实际SOAP消息是相同的，而不管其创建中是否涉及STS。

几年前，我写了几篇博客文章，详细介绍了其中的一些内容:

Access Manager 7.1 Beta in Java EE Tools/NetBeans 5.5 Enterprise Pack

Anatomy of a SAML-Secured SOAP Message

OpenAM取代了Sun Access Manager 7.1，但是原理保持不变。特别是，第二项独立于任何实际产品。