IdP 配置说明

1. 概述

自定义接口的整体配置与 SAML 2 类似，只是支持的加密算法与密钥的形式存在差异：

基于配置的 IdP 信息，客户可以通过开发自己的 IdP 与九数云对接，从而实现单点登录。IdP 的作用如下：

IdP 服务与九数云间的 Token 传递基于 JWT 标准（可参考 jwt.io 官方介绍与中文入门教程）。

在配置来自九数云的认证请求或返回九数云的认证断言时，参数格式如下：

配置步骤	参数名	说明
由用户浏览器发起的认证请求	request	认证请求 Token，详见【2.2.1 认证请求】
由用户浏览器发起的认证请求	state	状态值，此值需原封不动地返回九数云，九数云通过此值来避免恶意的断言请求
返回九数云的认证断言	response	认证断言 Token，详见【2.2.2 认证断言】
	state	状态值，来自认证请求
	redirect_uri	重定向地址，可选项，需要进行 URL 编码

认证请求是指由用户浏览器发起的认证请求，IdP 需要根据您的安全级别自行验证。

参数名	说明
iss	平台常量值 com.jiandaoyun，意指此请求由九数云发起
aud	可选，管理员在九数云配置的 Issuer
iat	签名签发时间（通常 JWT 第三方库会包含此验证，无需手动实现验证逻辑）
exp	签名失效时间（通常 JWT 第三方库会包含此验证）
type	常量值 sso_req，意指此为一个单点登录认证请求

注：开发环境可以跳过 IdP 验证。

您实际收到的请求原文及其对应解码后的格式，如下图所示：

九数云要求 IdP 在确认用户身份并将其重定向回九数云时，携带的 response 参数解码后对应的内容如下：

参数名	说明
aud	平台常量值 com.jiandaoyun，意指此断言的接收方为九数云
exp	签名失效时间
iat	签名签发时间
iss	可选，管理员在九数云配置的 Issuer
nbf	可选，签名生效时间
type	常量值 sso_res，意指此为一个单点登录认证断言
username	成员工号，此值应当与一个已经在九数云通讯录中激活的成员工号一致
redirect_uri	重定向地址，可选，无需进行 URL 编码；若该参数存在，将覆盖 URL 中的同名参数

您实际发送的断言原文及其对应解码后的格式，如下图所示：

单点登出请求参数格式与认证请求一致，并额外包含 jti 或 nameId 参数，但不包含 state 字段，Token 中的 type 为常量 slo_req。