SSO-SAML Anmelden bei IDP vom Serviceprovider

Question

SP ist eine App, die über einen eigenen Authentifizierungsmechanismus und lokale Identitäten verfügt. Benutzer können sich direkt anmelden.

Gibt es eine Möglichkeit SP kann über die angemeldeten Benutzer IDP benachrichtigen, damit andere SP in von IDP angemeldet (Salesforce)

[SP1 (u1 in mit sp1 Datenbank angemeldet)] -> [IDP (u1)]

[SP2] --- Anmeldung erf -> [IDP (u1)] -> [SP2 (u1)]

Problem ist SP1 hat von Benutzern festgelegt, die nicht Teil von IDP und andere SPs

SP = Dienstanbieter

IDP = Identitätsprovider

Answer 1

Im SAML-Protokoll nicht möglich. Lokale Identitäten bei SP können nicht über IdP oder andere SPs eingebunden werden.

Um die Identitäten zu föderieren, muss IdP den AuthnRequest von SP erhalten (im Falle von SP-Init SSO), authentifiziert an IdP und sendet Assertion an SP. Dadurch kann IdP nur Identitäten zwischen SPs föderieren.