SAMLアサーションコンシューマーサービス（ACS） - 実装上の提案

Question

パートナー企業にSSOを提供することで、別途ログインせずに当社のWebサイトにアクセスできるようになります。パートナー企業は既にイントラネット内にSSO実装を実装しています。他のパートナーSAMLトークンを受け取り、それらが有効であることを確認するだけで済みます（ブラウザ/ポストブラウザ/アーティファクトのいずれかのプロファイルを使用できます）。ドメインユーザーにSSOを実装する必要はありません。

質問：第三者から発行されたこれらのトークンを受け取ったり処理したりするサービスを実装することは可能でしょうか（またはSiteMinder、PingFederateなどのような）ベンダーアプリケーションを実装する必要がありますか？私たちの側は、この連合で依拠当事者として行動することさえできます。

Answer 1

オープンソースのソリューションの1つはOpenSSOです。 OpenSSOは、SAML 2.0やその他のプロトコルによるフェデレーテッドシングルサインオンを含むフルサービスWebアクセス管理システムとしてダウンロードして展開することも、簡単なサービスプロバイダ/依存パーティ実装（ACSを含む）を提供するFedletを配備することもできます。 Javaと（pre-release nowがサポートされていますが、間もなくサポートされます）.Net。

Answer 2

いくつかのオープンソースSAML実装のリストはhereです。

OpenSSO、OpenSAML、およびShibbolethが主要なオプションのようです。

Answer 3

私たちは大きな成功を収めたOpenAM Fedletを使用しました。 OpenAMは、SPにデプロイするIDP用のWARファイルを事前に設定します。その後、アプリケーションのセッション管理と統合して、ユーザーが認証されたことを伝える必要があります。それはSAML 2のみを実行します。つまり、軽量でアプリケーションと共存できる方法です。

Sun MicrosystemsがOpenSSOを廃止する予定であるため、OpenAMはOpenSSOの新しい名称です。それはforgerock.comでホストされています。

また、私はShibboleth SPについて素晴らしいことを聞いたことがあります。これはApacheの下でCGIとして実行されます。 REMOTE_USER変数を使用して、アプリケーションにユーザーIDを通知します。 ShibbolethはOpenSAMLライブラリに基づくインターネット2ミドルウェアプロジェクトです。