SAML单SP多个消费者/域

Question

我有一个情况，我的雇主正在创建很多不同的门户网站。一些门户网站将位于不同的域名和一些子域名。

E.g. portal.com，sub.portal.com，other-sub.portal.com以及portal-a.com或portal-b.com。

所有这些门户网站都属于我的雇主，与我的雇主有关并由其维护。所有这些门户网站的身份验证均使用SAML完成。

要设置SAML为这些门户网站将是麻烦的，因为每个门户，我们必须：

• 配置一些IDP（交换元数据）
• 以年为单位的连接做了安全检查（根据IDP策略）
• 付费订阅，用于连接到IDP

正如你能想象这最终变得站不住脚的，无法管理。我们主要使用PHP进行编程，因此我们使用SimpleSAMLPHP库为我们完成艰苦的工作。

是否有可能创建一个SP，并让所有其他门户通过该身份验证（认证）？

有关如何解决此问题的任何建议？什么是逻辑设置？

Answer 1

因为你的雇主有多个门户应用程序希望使用SAML协议进行身份验证，可以有单一服务提供商（SP），与外部身份提供商（IDP）通信反向web代理服务器和你整合与单SP所有门户应用程序反向网络代理。

所有的门户应用程序请求将首先被路由到代理，然后被路由到SAML-SP，用户在外部IdP进行身份验证，在代理处接收SAMLResponse，将SAMLResponse转发到SAML-SP，然后用户访问门户应用程序。

请参阅Shibboleth反向代理以供参考。 （你可以找到类似的东西给PHP）。 https://wiki.shibboleth.net/confluence/plugins/servlet/mobile#content/view/4358260