17.2. 联邦工作流

本节描述了 keystone、RH-SSO 和 IdM 如何相互交互。OpenStack 中的联邦使用身份提供程序和服务提供商的概念：

身份提供程序 (IdP)- 存储用户帐户的服务。在这种情况下，IdM 中保存的用户帐户使用 RH-SSO 向 Keystone 提供。

Service Provider (SP)- 需要从 IdP 中的用户进行身份验证的服务。在本例中，keystone 是授予 Dashboard 对 IdM 用户访问权限的服务提供商。

在下图中，keystone (SP)与 RH-SSO (IdP)通信，后者提供必要的 SAML2 WebSSO。RH-SSO 也可以作为其他 IdP 的通用适配器。在此配置中，您可以把 keystone 指向 RH-SSO，RH-SSO 将把请求转发到其支持的身份提供程序（称为身份验证模块），目前包括 IdM 和 Active Directory。这可以通过使用 Service Provider (SP)和身份提供程序(IdP)交换元数据来完成，然后为每个系统管理员做出信任决定。结果是 IdP 可以放心地做出断言，而 SP 然后可以接收这些断言。

View larger image

如需更多信息，请参阅联邦指南： https://access.redhat.com/documentation/zh-cn/red_hat_openstack_platform/13/html-single/federate_with_identity_service/