如何请求 IDP 在 AuthnResponse 中向我发送其他自定义属性？

Question

我已经使用 spring SAML 实现了 SSO，我想知道是否有任何方法可以请求 IDP（在我的例子中为ssocircle.com）向我发送其他属性以及它已经发送的 nameID。假设我希望 IdP 向我发送已成功通过身份验证的人员的 accountID。我进行了很多搜索并找到了一些建议，例如：

重写WebSSOProfileImpl .java 中的getAuthnRequest方法，以便发送到 IdP 的 authnRequest 具有此属性集。但我不知道如何继续下去？我是否也必须使用此附加属性名称和格式修改我的 SP 元数据？如果是，我该怎么做？或者可以使用 RelayState 参数来完成某些操作吗？在这方面的任何帮助将不胜感激。

谢谢，

阿比拉什

Answer 1

阿比拉什，

要提供给 SP 的属性通常以供应商特定的方式在 IDP 侧进行配置。

您可以配置 SSO Circle 以发送其他属性，方法是登录您的帐户https://idp.ssocircle.com/sso/UI/Login，选择管理元数据，按“添加新服务提供商”（如果存在，请先删除现有服务提供商）存在），并确保在“断言中发送的属性（可选）”部分中检查要在 AuthnRespose 中发送的 SAML 属性。SSO Circle 目前仅支持属性 FirstName、LastName 和 EmailAddress。

SP 可以使用 RequestedAttribute 元素来通告 IDP 在其元数据中需要提供的属性。IDP 和 SP 实现对此机制的支持可能有所不同。SAML 协议还允许 SP 通过在 AuthnRequest 中包含属性 AttributeConsumingServiceIndex 来建议 IDP 发送哪些属性，但通常不支持此功能。一些自定义 SAML 配置文件定义了使用 AuthnRequest 的扩展元素来执行此操作的自定义方法。

干杯，弗拉基米尔·谢弗