ITPub博客

首页 > 应用开发 > IT综合 > 基于SAML2.0的SAP云产品Identity Authentication过程介绍

基于SAML2.0的SAP云产品Identity Authentication过程介绍

原创 IT综合 作者:i042416 时间:2019-08-22 16:13:04 0 删除 编辑

SAP官网的架构图
https://cloudplatform.sap.com/scenarios/usecases/authentication.html

clipboard1

上图介绍了用户访问SAP云平台时经历的Authentication过程。
本文使用的例子是用户访问SAP Marketing Cloud而非SAP云平台,但是原理一致。

步骤1:用户向Service provider发起服务请求。
步骤2:Service provider把这个请求重定向到提供认证的租户上,在我这个例子是SAP ID service,即account.sap.com.

这里Marketing Cloud和SAP ID Service被配置为互相信任。

clipboard2

请求1响应头里的302重定向字段: https://let-me-in.hybris.com/saml/idp-redirection?httpd_location=https://hybris.com/sap/bc/ui5_ui5/ui2/ushell/shells/abap/FioriLaunchpad.html

被重定向到SAP云平台的account ID service(accounts.sap.com):
https://accounts.sap.com/saml2/idp/sso?sp=com:ydcHybris:spring:sp2&RelayState=https://hybris.com/sap/bc/ui5_ui5/ui2/ushell/shells/abap/FioriLaunchpad.html

步骤3:IDP给用户发送一个html page,要求用户提供用户名和密码。

clipboard3

如果查看这个html的源代码,能发现除了用户名和密码两个输入字段外,还包含了一些隐含字段,如下图高亮所示,这些字段是IDP返回给用户时在服务器端生成的,用于步骤5的IDP服务器端认证处理:

clipboard4

  • xsrfProtection
  • spId
  • spName
  • authenticity_token
  • idpSSOEndpoint

步骤4:用户输入用户名和密码后,点击login按钮,这些信息通过HTML form发送到了SAP ID service的服务器端:

clipboard5

sso请求的url: https://accounts.sap.com/saml2/idp/sso

第二个大写的SSO请求的url: https://let-me-in.demo.hybris.com/saml/SSO

步骤5:SAP ID service的服务器端完成验证,发送SAML assertions作为响应给用户。

clipboard6

这个SAML响应是XML格式的,结构如下:

clipboard7

步骤6也就是最后一步,拿到这个SAML assertion后,用户就能够访问service provider了。

要获取更多Jerry的原创文章,请关注公众号"汪子熙":


来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/24475491/viewspace-2654613/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2018-01-20

  • 博文量
    723
  • 访问量
    294033