ADFS Anbindung mit SAML

[Genodi]

Hallo liebe Kollgegen.

Ich muss eine SSO Lösung mittel SAML 2/ADFS erstellen in Java. Ich habe viel recherchiert, mir fehlt aber scheinbar etwas Grundwissen. Hier erst mal mein Wissensstand:

SSO bedeutet Single-Sign-On. Das Verfahren ermöglicht mir, mich an einer Stelle anzumelden und an allen anderen Applikationen auch angemeldet zu sein.

SAML 2 ist ein XML-basiertes Protokoll, mit dem ich Authentifizierungsdaten per requests und respones übertragen kann.

ADFS ist ein Service vom Microsoft Server, der die Authentifizierung bestätigt.

Ich weiß, dass es noch ein Identity Provider und einen Service Provider gibt. Ziel ist es, dass Benutzer automatisch in meinem Programm mit ihrem AD Benutzernamen angemeldet sind, ohne Login-Seite. Das ist genau die Anforderung, eine andere Methode, kann ich nicht angehen.

Mir fehlt ein wenig der Überblick, die Begriffe selbst verstehe ich zum größten Teils, aber der Workflow ist mir nicht ganz klar. Ich weiß auch nicht genau, wo ich mit meinem Programm dann einsetzen soll. Ich habe gelesen, dass man das dann mit Frameworks wie OpenSSO/OpenAM oder Shiboreth lösen kann.

Es ist scheinbar recht viel, ihr müsst hier keine Romane erzählen. Aber hättet ihr vielleicht Tipps oder Literaturhinweise, wo sowas von Grund auf erklärt ist, damit es auch Doofe verstehen?

Danke schon mal

Genodi

UPDATE:

Ich habe schon mal was für SSO mit Kerberos gemacht, am Anfang dachte ich, es gibt einen Zusammenhang, aber ich bin echt total verwirrt. Über jede Hlfe wäre ich dankbar!

Bearbeitet 22. Januar 2013 von Genodi

[Anja_]

Der User, der sich anmelden will, schickt seine Id (oder was auch immer, auf jeden Fall ihn eindeutig identifizierend) an die Anwendung, die Anwendung schickt diese Id zuammen mit der eigenen Kennung und einem Zeitstempel an den Authentifizierungsserver, der alle User und ihre Rechte kennt, dieser schickt dann das Ergebnis (darf oder darf nicht) ggf. zusammen mit weiteren Daten (z.B. Berechtigungsebene) zurück an die Anwendung. Für die Anwendung geht es dann weiter, als hätte sich der User z.B. über einen Anmeldebildschirm authentifiziert.

Zeitstempel und Kennung der Anwendung sind erforderlich, damit nicht u.U. eine abgefangene Berechtigung einer anderen Anwendung verwendet werden kann. Außerdem erlaubt SAML auch Szenarien, wo ein Zugriff nur zu bestimmten Zeiten möglich ist.

Es gibt auch Bibliotheken, die das Handling teilweise übernehmen, z.B. von ComponentSpace.