多個ACS網址

Question

我們正在使用PingFederate進行SSO並且已啓動SP。而Ping Federate會像Idp一樣行事。對於應用程序有2個網絡服務器（高可用性）

我的問題是 1.我們可以提供兩個默認的網址（在控制檯中只有一個網址可以設置爲默認值，在這種情況下，我們可以提供兩個逗號分隔的網址）。

可以負載平衡器URL提供了ACS的URL。

謝謝！

Answer 1

我想你要發佈的斷言使用者服務URL中SP元數據，因爲它是特定的到服務提供商。

對於SP支持的特定綁定，您可以具有唯一或相同的ACS端點，端點必須瞭解對來自IdP的綁定的響應。 ACS端點也可以被索引，任何一個端點都可以被設置爲元數據中的默認值。例如：

<AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sts.contoso.com/adfs/ls/" index="0" isDefault="true" /> 
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" Location="https://sts.contoso.com/adfs/ls/" index="1" /> 
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sts.contoso.com/adfs/ls/" index="2" /> 

只要IdP可以從外部到達SP服務器，就可以使用負載平衡器URL。

Answer 2

正如您在PingFederate管理控制檯中注意到的，您可以指定多個ACS URL，但只有一個是默認URL。每個ACS URL都分配一個索引號。

如果未提供ACSIdx查詢參數，則使用IdP啓動的SSO，將使用默認ACS URL發送SAML斷言。此查詢參數指定要使用哪個ACS URL。使用該參數時，它會將SAML斷言發送到與該索引關聯的ACS URL，如PingFederate管理控制檯中所示。

使用SP發起的SSO，如果服務提供商應用程序發送簽名的AuthnRequest，則ACS URL可以是動態的。根據SAML規範，SP發起的SSO可以發送ACS URL，身份提供商將使用ACS URL（在這種情況下爲PingFederate IdP）來發送SAML斷言。因此，請求服務器指定如何返回給自己，授予AuthnRequest由PingFederate IdP服務器簽名和信任。