多个ACS网址

Question

我们正在使用PingFederate进行SSO并且已启动SP。而Ping Federate会像Idp一样行事。对于应用程序有2个网络服务器（高可用性）

我的问题是 1.我们可以提供两个默认的网址（在控制台中只有一个网址可以设置为默认值，在这种情况下，我们可以提供两个逗号分隔的网址）。

可以负载平衡器URL提供了ACS的URL。

谢谢！

Answer 1

我想你要发布的断言使用者服务URL中SP元数据，因为它是特定的到服务提供商。

对于SP支持的特定绑定，您可以具有唯一或相同的ACS端点，端点必须了解对来自IdP的绑定的响应。 ACS端点也可以被索引，任何一个端点都可以被设置为元数据中的默认值。例如：

<AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sts.contoso.com/adfs/ls/" index="0" isDefault="true" /> 
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" Location="https://sts.contoso.com/adfs/ls/" index="1" /> 
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sts.contoso.com/adfs/ls/" index="2" /> 

只要IdP可以从外部到达SP服务器，就可以使用负载平衡器URL。

Answer 2

正如您在PingFederate管理控制台中注意到的，您可以指定多个ACS URL，但只有一个是默认URL。每个ACS URL都分配一个索引号。

如果未提供ACSIdx查询参数，则使用IdP启动的SSO，将使用默认ACS URL发送SAML断言。此查询参数指定要使用哪个ACS URL。使用该参数时，它会将SAML断言发送到与该索引关联的ACS URL，如PingFederate管理控制台中所示。

使用SP发起的SSO，如果服务提供商应用程序发送签名的AuthnRequest，则ACS URL可以是动态的。根据SAML规范，SP发起的SSO可以发送ACS URL，身份提供商将使用ACS URL（在这种情况下为PingFederate IdP）来发送SAML断言。因此，请求服务器指定如何返回给自己，授予AuthnRequest由PingFederate IdP服务器签名和信任。