如何在多租户子目录系统中为各应用配置独立Shibboleth IdP

嘿，作为刚入坑Shibboleth/SAML的新手，你的这个场景其实挺典型的——单域名下多子应用要对接不同的IdP，完全不用非得新建独立网站，给你分享两个更适配你现有环境的方案：

这是最直接的方式，利用Shibboleth的<RequestMapper>配置，根据请求的子目录路径，自动匹配对应的IdP。

具体操作步骤：

1. 打开Shibboleth的核心配置文件shibboleth2.xml
2. 找到<RequestMapper>节点，添加路径匹配规则，给每个子应用分配独立的applicationId：

<RequestMapper type="Native">
  <RequestMap applicationId="default">
    <Host name="www.sample.com">
      <!-- 给tenant1子目录绑定专属应用ID -->
      <Path name="tenant1" applicationId="tenant1App"/>
      <!-- 给tenant2子目录绑定专属应用ID -->
      <Path name="tenant2" applicationId="tenant2App"/>
    </Host>
  </RequestMap>
</RequestMapper>

3. 接着在配置文件里，为每个applicationId单独配置对应的IdP信息：

<!-- Tenant1的独立IdP配置 -->
<ApplicationOverride id="tenant1App">
  <Sessions lifetime="28800" timeout="3600" relayState="ss:mem" checkAddress="false">
    <!-- 指定Tenant1的IdP实体ID -->
    <SSO entityID="https://tenant1-idp.example.com/idp/shibboleth">
      SAML2 SAML1
    </SSO>
    <!-- 加载Tenant1的IdP元数据 -->
    <MetadataProvider type="XML" url="https://tenant1-idp.example.com/idp/shibboleth" backingFilePath="tenant1-idp-metadata.xml"/>
  </Sessions>
</ApplicationOverride>

<!-- Tenant2的独立IdP配置 -->
<ApplicationOverride id="tenant2App">
  <Sessions lifetime="28800" timeout="3600" relayState="ss:mem" checkAddress="false">
    <!-- 指定Tenant2的IdP实体ID -->
    <SSO entityID="https://tenant2-idp.example.com/idp/shibboleth">
      SAML2 SAML1
    </SSO>
    <!-- 加载Tenant2的IdP元数据 -->
    <MetadataProvider type="XML" url="https://tenant2-idp.example.com/idp/shibboleth" backingFilePath="tenant2-idp-metadata.xml"/>
  </Sessions>
</ApplicationOverride>

这个方案的优势是完全复用现有IIS站点和SSL证书，所有路由逻辑都在Shibboleth层处理，不用动IIS的站点配置。

如果你的ColdFusion应用本身有自定义的登录入口，可以直接在应用里构造指向对应IdP的认证链接，灵活性更高。

操作要点：

1. 先在Shibboleth的shibboleth2.xml里加载所有需要的IdP元数据：

<MetadataProvider type="Chaining">
  <MetadataProvider type="XML" url="https://tenant1-idp.example.com/idp/shibboleth" backingFilePath="tenant1-idp-metadata.xml"/>
  <MetadataProvider type="XML" url="https://tenant2-idp.example.com/idp/shibboleth" backingFilePath="tenant2-idp-metadata.xml"/>
</MetadataProvider>

2. 在每个子应用的登录页面，生成带entityID参数的Shibboleth认证链接：

<!-- Tenant1的登录触发链接 -->
<a href="/Shibboleth.sso/Login?entityID=https://tenant1-idp.example.com/idp/shibboleth">Tenant1用户登录</a>

<!-- Tenant2的登录触发链接 -->
<a href="/Shibboleth.sso/Login?entityID=https://tenant2-idp.example.com/idp/shibboleth">Tenant2用户登录</a>

这种方式适合需要在应用层控制认证流程的场景，比如不同租户有不同的登录UI时，非常好用。

你最初考虑的新建独立网站方案虽然可行，但会带来几个麻烦：

• 你的SSL证书只覆盖www.sample.com，如果用子域名（比如tenant1.sample.com），得额外申请通配符或多域名证书，增加成本和维护量
• HSTS配置需要更新覆盖新域名，容易踩坑
• 多站点会增加IIS和Shibboleth的维护复杂度，完全没必要

最后提几个注意事项：

• 修改完Shibboleth配置后，一定要重启Shibboleth服务和IIS，确保配置生效
• 可以访问/Shibboleth.sso/Status查看SP的状态，确认所有IdP元数据都加载成功
• 测试时要注意HSTS的缓存问题，如果之前有过HTTP访问记录，可能需要清浏览器缓存

内容的提问来源于stack exchange，提问作者kevinmkr