SAML indendity傳播

Question

在我的方案，我有以下結構元素： - SAML固定門戶（域A） - 用戶 - SAML安全API（域B，因此不同結構域比門戶） - 一個的IdP
用戶將首先登錄門戶網站，如果未經過身份驗證，門戶網站會將其重定向到身份提供商進行登錄。一旦登錄到IdP並因此登錄到門戶，門戶將擁有標識用戶的SAML令牌。

現在，此門戶將需要自動調用API（存在於另一個域中），並傳遞給它一個標識用戶的SAML令牌。問題是，門戶只是posses已經提供給他的道理，因此我的問題：

我如何通過調用鏈傳播的用戶的身份？

例如，是否有可能在不同的依賴方之間共享相同的令牌？如果是，發行的令牌應該尊重哪些約束條件以確保它可以被不同實體「共享」？

非常感謝提前！

Answer 1

一種方式可能是門戶網站而不是直接調用API，而是應該將用戶重定向到API。

這樣的API會發現用戶沒有一個有效的會話，會重定向到該用戶已被認證IdP進行。然後，IdP將通過API的SAML響應重定向回API。

這對用戶來說都是透明的，用戶只會看到API的結果。