在多租户应用程序中使用 SimpleSAMLphp

Question

我们应用程序的租户有自己的子域，例如 customer1.domain.com，尽管它是一个代码库。一些租户希望 SP 使用 SAML 发起 SSO。

实现这一目标的最佳方法是什么？

1. 静态共享子域上的 SimpleSAMLphp，例如 sso.domain.com/saml/
2. SimpleSAMLphp 作为租户的一部分，例如 customer1.domain.com/saml/

如果我们选择选项 1，我们如何知道传入的 SAML 请求是针对哪个租户的？

如果我们选择选项 2，您建议如何为元数据/authsources 配置 SimpleSAMLphp，因为它似乎只支持硬编码文件。

谢谢

Answer 1

在我的一位前雇主那里，我们采用了类似于选项 2 的设置，而且它对我们来说效果很好。唯一的区别是每个客户端的域都是唯一的，并且他们将 SAML 发布到 /index.php

客户1

client1.com/index.php

客户端2

client2.com/index.php

我们为每个客户端使用一个侦听器来触发 SAML 有效负载的处理。

我们必须在 authsources.php 中为每个客户端配置密钥和源名称（源名称对于每个客户端都是唯一的）。我们还为每个客户端使用不同的密钥，您也可以为所有客户端使用一对密钥，但安全性较低

我们还必须在 saml20-idp-remote.php 中为每个客户端配置指纹。