Shibboleth SSO 连接到 SP 或维护用户存储

Question

我是 Shibboleth 的新手，想为我的客户提供现有系统的 Idp。目标是让其他第 3 方应用程序登录以获得使用 SAML SSO 的无缝登录体验。

现在客户端已经配置了一个现有的 Shibboleth 服务提供者。

我一直在阅读有关Authenication Configuration 的信息，特别是PasswordAuthnConfiguration。 This article about using a relation DBMS 也很有用。但我觉得我可能误解了 Idp 的目的。

我是否需要为 Shibboleth Idp 提供和维护用户存储？如果是这样，Shibboleth 是否提供帐户创建/重置机制？还是应该向 Idp 添加外部身份验证提供程序而不维护用户存储？

Answer 1

我是否需要为 Shibboleth Idp 提供和维护用户存储？

是的。 IdP 不维护帐户存储；而是连接到提供该存储的现有系统，其中最常见的是 LDAP 或 Active Directory，或 JAAS 支持的系统。

如果是，Shibboleth 是否提供帐户创建/重置机制？

不，您必须设计/构建这些部件。截至撰写本文时，Shibboleth IdP 不提供帐户管理、注册、密码重置等功能，所有这些都应由您作为系统的扩展来处理/设计。

或者我应该向 Idp 添加外部身份验证提供程序而不维护用户存储？

只有 IdP v4 提供了对外部身份验证系统的支持，并且在撰写本文时，其他外部 SAML2 身份提供者也支持。在这种情况下，您的 IdP 将只是外部身份提供商的代理，它将处理帐户存储、注册等。