SAML断言使用者服务（ACS） - 关于实施

Question

我们正在寻找的建议，在为合作伙伴公司提供SSO，使他们能够在不访问我们的网站分别洛的合作伙伴公司已拥有自己的内部网内的SSO实施以及其他伙伴。我们只需要能够接收SAML令牌并确认它们是有效的（可以使用浏览器/帖子浏览器/人工配置文件）。我们不需要为我们的域用户实施SSO。

问： 这是值得/可以实现上的服务（USNG WCF？），可以收到和处理这些令牌由第三方发行的，还是我们需要实现一个供应商的应用程序（如SiteMinder的，的PingFederate等）我们的一方甚至能够在本联合会中担任依赖方。

Answer 1

一个你应该看看开源解决方案是OpenSSO。您可以将OpenSSO作为全方位服务的Web访问管理系统进行下载和部署，包括通过SAML 2.0和其他协议进行联合单点登录，或者部署Fedlet，它提供简单的服务提供商/依赖方实施（包括ACS）对于Java和（pre-release now，但很快就会支持）.Net。

Answer 2

的几个开源SAML实现的列表可以发现here。

的OpenSSO，OpenSAML和Shibboleth的似乎是主要的选择。

Answer 3

我们使用OpenAM Fedlet取得了巨大成功。 OpenAM为IDP预先配置一个WAR文件，然后将其部署在SP上。您必须在应用程序中集成会话管理，以告知用户已通过身份验证。它只做SAML 2，这就是它如此轻量级，可以与您的应用程序共存。

由于Sun-Oracle计划放弃它，OpenAM是OpenSSO的新名称。它位于forgerock.com。

我也听说过关于Shibboleth SP的很棒的事情。它在Apache或任何Web服务器下作为CGI运行。它使用REMOTE_USER变量将用户ID传递给您的应用程序。 Shibboleth是基于OpenSAML库的Internet2中间件项目。