SAML SSO - ディープリンク - アサーションURL

Question

ベンダーとSAMLの統合が行われています。私たちの側のIdpはADFS 2.0です。ユーザーが当社のサイトからベンダーへのリンクをクリックするたびに、ユーザーはadfsログインページにリダイレクトされます。認証に成功すると、ベンダーのホームページであるsamlアサーションのコンシューマURLにリダイレクトされます。

ここでは、深いつながりが確立されています。その問題は、認証がベンダーのホームページにいつも終わった後のユーザーの問題です。 relaystateがセットアップされていると仮定すると、samlアサーションのコンシューマURLページからディープリンクにリダイレクトするのはベンダーの責任ではありませんか？アサーションURLに行くことで、ベンダーのサイトでセキュリティコンテキストを確立する必要があるため、adfsがディープリンクに直接リダイレクトできないと仮定します。別のリンクに行く前に誰もが特定のページ（アサーションURL）に行くことを期待するのは不便ではありませんか？

私が想定しているのは、httpモジュールまたはフィルタとしてベンダー側でセキュリティコンテキストを確立するコードを作ることだけです。私はこれを正しく言っているのでしょうか、あるいは私の理解は間違っていますか？

Answer 1

SAMLの範囲では、ベンダから送信された同じリレー状態をベンダに返されるリダイレクトに添付するのはADFSの責任です。リレー状態の使用方法はSAMLの範囲外であり、同意する必要があります。

ただし、ディープリンクのターゲットURLが中継状態で送信されることは非常に一般的です。