# 业务系统通过SAML协议集成E10系统

来源快照：`result_data_new_260518.json`

- 来源 ID：`1177708654304174142`
- 模块：集成中心
- 目录：统一认证中心 - 应用系统集成
- space ID：`1158011075224911873`
- 原文链接：未提供
- 产品基线：未提供

## 正文

# 一、功能背景及价值用途

当应用系统在与E10系统进行SAML2认证集成时，需要了解该文档的内容，并根据SAML协议的接口规范进行相应接口的开发或调整。

# 二、功能概述以及使用说明

## 1、应用系统通过SAML2集成E10系统准备

### 1.1、E10系统提供IDP元数据

可从E10系统SAML2认证协议下载IDP元数据文件提供给应用系统。或者将SAML2认证协议中的IDP EntityId、 IDP证书、SSO地址、统一退出接口地址给到应用系统。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1180362544781525000&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

### 1.2、应用系统

SP应用系统需依据IDP元数据信息生成SP元数据文件，并将其提供给E10系统，以完成SAML2应用的注册。

 

### 1.3、E10系统注册SAML2应用

可在E10系统SAML认证页面中点击“快速创建应用”创建SAML2认证应用。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1180362544781524995&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

注意：SP EntityId需保持唯一，相同的地址只能在E10系统注册一套SAML2应用。

 

创建应用成功后，需在共享范围中维护用户权限，以确保只有授权的用户能够使用该应用进行认证登录。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1180362544781524997&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

需在账号映射中维护账号映射规则，设定哪些用户属性在通过该应用进行认证登录后，可以被共享给业务系统。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1180362544679829504&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

## 2、认证集成过程

### 2.1、SAML2认证过程

![](https://weapp.eteams.cn/papi/file/preview?fileId=1180362544593649665&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

图片来源：[https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html](https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html)

 

角色说明：

**IDP****（****Identity Provider****）：** SAML服务端，它创建、维护和管理主体的身份信息，并向联邦内的其他服务提供者提供主体身份验证；简称 IdP，身份提供方能够向 SP 发送身份断。

 

**SP****（****Service Provider****）：** SAML接入端，通过解析IDP发出的身份认证断言，验证主体身份认证信息后，给主体或联邦内其他系统提供服务；简称 SP。

 

步骤说明：

1.

访问SP系统。

2.

SP系统发起Redirect（302） 请求并带上SAMLRequest 到IDP的SSO接口。

3.

Idp进行安全上下文检查，校验应用权限、SAMLRequest是否合法等。

4.

登录IDP服务。

5.

IDP根据当前用户信息构建一个SAMLResponse。

6.

将SAMLResponse通过Post请求响应给SP端。

7.

SP接收SAMLResponse报文，解析报文、登录SP系统会话等。

 

### 2.2、接口说明

SAML2认证协议的SSO接口以及统一退出接口可参阅[SAML认证协议](https://weapp.eteams.cn/sp/ebdpage/view/freepass/1152863419640021002?id=1177965574910910568&space_id=1158011075224911873 "SAML认证协议")。

 

### 2.3、验证

维护应用系统与E10系统之间的人员关系。

访问应用系统，携带SAML2请求报文请求SAML2授权地址（应用系统自行实现），E10认证登录授权后，会返回SAML2响应报文导致应用系统， 应用系统进行校验报文，登录系统。
