SAML服務提供者作爲另一項服務的身份提供者？

Question

這是場景。

1. Service Provider ABC.com is configured to accept credentials from IDP MNO.com. 
2. Service Provider is also configured as an Identity Provider for XYZ.com. 
3. User requests resource from ABC.com, is authenticated successfully against MNO.com. 
4. Now the user wants a resource from XYZ.com. 

如果用戶通過驗證，XYZ會詢問ABC。該用戶最初是針對MNO.com進行身份驗證的。 MNO.com和XYZ.com不相互瞭解。最初通過MNO.com認證的憑證是否會跨越XYZ.com？換句話說，ABC.com會認爲用戶已通過身份驗證，是否會將從MNO.com收到的憑證提供給XYZ.com？

如果沒有，是否有辦法實現這一目標？或者原始IdP（MNO.com）是否也需要爲XYZ.com服務？

簡而言之：

Identity Provider: MNO.com trusts SP: ABC.com 
SP: ABC.com also configured as IDP to XYZ.com 
SP: XYZ.com does not know about IDP: MNO.com 

不要從MNO.com獲得通過，以XYZ.com只是因爲ABC.com既是SP和身份提供的憑據？

謝謝

Answer 1

理想情況下，您的情況下會有一個身份提供商（MNO.com）。所有關聯的服務提供者都需要在IDP內進行配置。您有兩個SP「abc.com」和「xyz.com」，應該使用MNO.com進行配置，但abc.com和xyz.com不需要彼此瞭解。

用例：如果用戶嘗試登錄受IDP MNO.com保護的xyz.com，則MNO.com將在未登錄之前要求提供憑證。現在用戶將能夠訪問xyz.com，並且他想訪問abc.com，然後請求將轉到IDP進行身份驗證，並由於xyz.com創建的以前會話而獲得成功身份驗證。因此用戶將無需再次登錄即可訪問abc.com。

讓我知道你是否有任何疑問。