SAML服务提供者作为另一项服务的身份提供者？

Question

这是场景。

1. Service Provider ABC.com is configured to accept credentials from IDP MNO.com. 
2. Service Provider is also configured as an Identity Provider for XYZ.com. 
3. User requests resource from ABC.com, is authenticated successfully against MNO.com. 
4. Now the user wants a resource from XYZ.com. 

如果用户通过验证，XYZ会询问ABC。该用户最初是针对MNO.com进行身份验证的。 MNO.com和XYZ.com不相互了解。最初通过MNO.com认证的凭证是否会跨越XYZ.com？换句话说，ABC.com会认为用户已通过身份验证，是否会将从MNO.com收到的凭证提供给XYZ.com？

如果没有，是否有办法实现这一目标？或者原始IdP（MNO.com）是否也需要为XYZ.com服务？

简而言之：

Identity Provider: MNO.com trusts SP: ABC.com 
SP: ABC.com also configured as IDP to XYZ.com 
SP: XYZ.com does not know about IDP: MNO.com 

不要从MNO.com获得通过，以XYZ.com只是因为ABC.com既是SP和身份提供的凭据？

谢谢

Answer 1

理想情况下，您的情况下会有一个身份提供商（MNO.com）。所有关联的服务提供者都需要在IDP内进行配置。您有两个SP“abc.com”和“xyz.com”，应该使用MNO.com进行配置，但abc.com和xyz.com不需要彼此了解。

用例：如果用户尝试登录受IDP MNO.com保护的xyz.com，则MNO.com将在未登录之前要求提供凭证。现在用户将能够访问xyz.com，并且他想访问abc.com，然后请求将转到IDP进行身份验证，并由于xyz.com创建的以前会话而获得成功身份验证。因此用户将无需再次登录即可访问abc.com。

让我知道你是否有任何疑问。