saml-2.0 - 我在 Ping Federate 中使用 Http Form Adapter。如何从 SAML 响应中获取用户属性？

Question

Http Form 适配器在我的应用程序中充当身份验证服务。我没有在身份提供者上实现任何应用程序来获取用户输入。

因此，在成功验证后，SP 会验证用户的签名并重定向到应用程序。在我的目标资源中，我收到了一个开放令牌。是否仍然可以利用开放的 Token Jar 从 OTK 中读取用户属性？

**注意：** 在 Service Provider 中，我使用开放令牌适配器。

另外，请让我知道除了使用开放令牌适配器/http 表单适配器之外是否还有其他可能的方法来获取用户属性。

谢谢。

Answer 1

您可以选择使用许多 SP 适配器与您的应用程序进行最后一英里集成。OpenToken 适配器只是其中之一。如果您的应用程序是 Java 并且您正在使用 SP OpenToken Adapter，那么您很可能会在您的应用程序中使用 Java OpenToken Agent 实现来读取 OTK（记录在 Java Integration Kit 中）。如果您查看Add Ons列表，实际上有 3 种 OTK 代理（来自 PingID 的 .NET、Java 和 PHP。Ruby on Rails 和 Perl 可通过各自的开源存储库获得）。

但是，您不仅限于 OpenToken 适配器。无代理集成工具包在与 PingFederate 的 SP/最后一英里集成方面也很受欢迎。

不幸的是，这个问题对于 Stackoverflow 格式来说太开放了。我建议与您的 Ping 身份解决方案架构师交谈，他可以帮助您朝着正确的方向前进，并就您的用例提出必要的后续问题。

Answer 2

如果正确理解了问题，您希望满足 Web 应用程序可以读取和使用的属性。这从 SP 连接配置开始。我将假设您正在使用 Active Directory，并且已经为 HTML 表单 IdP 适配器配置了该数据源以及密码凭据验证器 (PCV)。在 SP 连接中，您需要扩展属性协定以定义要放入 SAML 断言的值，然后使用 Active Directory 数据源来实现属性。当 PingFederate SP 角色服务器接收到 SAML 断言时，SP 适配器将来自 SAML 断言的属性值映射到 OpenToken。当您的应用程序收到 OpenToken 时，它可以读取这些值。