聯合/ SSO技術

Question

我想知道如何在一組公共網站上實現聯合的技術。簡單的答案是'federation'或'saml'。然而，在實踐中，我可以看到許多技術問題：創建賬戶鏈接（使站點1中的用戶「SteveRoy」鏈接到站點2中的「SRoy」），更改登錄頁面以引用中央IdP，處理不在所有網站上都有帳戶，在網站上處理會話註銷等。簡而言之，「saml」似乎是一個更復雜問題的簡單化。很想聽聽那些在這個領域取得成功的人的細節......

Answer 1

可能不是你希望得到的答案，但是在這裏。 :)

SAML（以及相關的/替代的OpenID）只是用於傳遞關於身份的斷言的協議，並將身份驗證決策聯合在別的地方 - 它允許您接受您信任的用於執行用戶的服務（IdP）身份驗證。這些協議允許您構建聯合身份系統;他們自己並不是這樣的系統。

您在問題中提到的所有內容（用戶映射，實際的SP基礎設施維護，單個站點授權和聯合註銷）一直是並且仍然是這一領域的挑戰，您部署的任何解決方案都需要解決這些問題工程/實施問題。你可以，也可能有人應該寫出數百頁的各種方式來處理構建一個有效的聯合身份系統所涉及的所有細微差別。在這個領域沒有簡單的答案。