联合/ SSO技术

Question

我想知道如何在一组公共网站上实现联合的技术。简单的答案是'federation'或'saml'。然而，在实践中，我可以看到许多技术问题：创建账户链接（使站点1中的用户“SteveRoy”链接到站点2中的“SRoy”），更改登录页面以引用中央IdP，处理不在所有网站上都有帐户，在网站上处理会话注销等。简而言之，“saml”似乎是一个更复杂问题的简单化。很想听听那些在这个领域取得成功的人的细节......

Answer 1

可能不是你希望得到的答案，但是在这里。 :)

SAML（以及相关的/替代的OpenID）只是用于传递关于身份的断言的协议，并将身份验证决策联合在别的地方 - 它允许您接受您信任的用于执行用户的服务（IdP）身份验证。这些协议允许您构建联合身份系统;他们自己并不是这样的系统。

您在问题中提到的所有内容（用户映射，实际的SP基础设施维护，单个站点授权和联合注销）一直是并且仍然是这一领域的挑战，您部署的任何解决方案都需要解决这些问题工程/实施问题。你可以，也可能有人应该写出数百页的各种方式来处理构建一个有效的联合身份系统所涉及的所有细微差别。在这个领域没有简单的答案。