1.2. 如何使用单点登录进行 SAML v2 工作

对 SP 的主要 HTTP 请求.

主体首先尝试使用 HTTP 用户代理（如浏览器）在 SP 访问受保护的资源。如果主体已签发了具有有效安全性上下文的 SAML 令牌，SP 将允许或拒绝主体。这是最后一步。否则，SP 将尝试查找用于身份验证请求的 IDP。

SP 确定 IDP.

SP 查找支持 SP 的首选绑定的 IDP 及其端点。这允许 SP 向 IDP 发送身份验证请求。此过程的具体方式可能因实施而异。

使用主体从 SP 向 IDP 发出身份验证请求.

SP 确定 IDP 位置和端点后，SP 以 <AuthnRequest> 消息的形式发出身份验证请求，该消息将由用户代理向 IDP 主体发送。HTTP 重定向、HTTP POST 或 HTTP 工件 SAML 绑定可用于使用用户代理将消息传输到 IDP。

IDP 标识主体.

身份验证请求通过主体发送到 IDP 后，主体将由 IDP 标识。识别方法不是通过 Web 浏览器单点配置文件具体定义，可以通过多种方式完成，例如使用 FORM 进行身份验证，使用现有的 会话信息、kerberos 身份验证等。

IDP 问题响应 SP.

确定了主体后，IDP 以 <Response> 信息的形式发出一个响应，以返回 SP，以便使用用户代理授予或拒绝主体访问。此消息将至少包含一个身份验证断言，也可用于指示错误。HTTP POST 或 HTTP 工件可用于传输此消息，但由于大多数用户代理的 URL 长度限制而无法使用 HTTP 重定向。如果用户代理发起基于 IDP 的流（例如，尝试直接访问 IDP 而不是 SP），则此过程从这一步开始。如果成功，HTTP POST 或 HTTP Artifact 将发送到一个位置，该位置在 IDP 中预先配置。

SP 允许或拒绝访问主体.

SP 收到 Response 后，可以通过创建安全上下文或拒绝访问或执行自己的错误处理，向主体授予所请求资源的访问权限。