能否将WebLogic SAML2 IDP配置为WSO2可信IDP，实现跨场景统一SSO？

首先明确：完全可以实现这个融合场景。WSO2 Identity Server（以下简称WSO2 IS）原生支持将外部SAML 2.0身份提供商配置为可信IDP，通过这个配置，你可以让原有WebLogic SAML2体系下的用户，无需重新认证就能访问基于WSO2 OAuth2的新应用，同时原有WebLogic SP的SSO流程也不受影响。

下面是具体的配置思路和关键步骤：

1. 在WSO2 IS中添加WebLogic作为SAML2可信IDP #

• 登录WSO2 IS管理控制台，进入Identity Providers > Add
• 在基本信息页填写IDP名称（比如WebLogic-SAML-IDP），然后切换到SAML2 Web SSO Configuration标签
• 勾选Enable SAML2 Web SSO，然后配置核心参数：
  • Issuer：填写WebLogic IDP的SAML实体ID（你可以在WebLogic控制台的SAML IDP配置中找到这个值）
  • SSO URL：填写WebLogic IDP的SAML断言消费URL（通常是类似http://weblogic-idp-host:port/saml2/idp/acs的地址，具体以你的WebLogic配置为准）
  • Signature Validation Certificate：上传WebLogic IDP用于签名SAML断言的公钥证书（确保WSO2能验证WebLogic发来的断言合法性）
• 保存配置，此时WSO2 IS已经将WebLogic识别为可信的SAML2身份源

2. 配置WSO2 IS的身份桥接与OAuth2关联 #

• 为了让WebLogic认证后的用户能无缝使用WSO2的OAuth2服务，需要配置Claim Mapping：
  • 进入刚才创建的WebLogic IDP配置页，切换到Claim Configuration标签
  • 映射WebLogic SAML断言中的用户属性（比如email、username）到WSO2 IS的本地声明（比如http://wso2.org/claims/emailaddress），这样WSO2能识别来自WebLogic的用户身份信息
• 接下来，在WSO2 IS的Service Providers中，为你的OAuth2应用配置Local & Outbound Authentication Configuration，选择Federated Authentication并指定刚才创建的WebLogic-SAML-IDP作为默认认证选项

3. 验证融合场景的SSO流程 #

当用户访问基于WSO2 OAuth2的新应用时：

1. 应用跳转到WSO2 IS请求OAuth2授权
2. WSO2 IS检测到用户未认证，自动重定向到WebLogic IDP的SAML2登录页面
3. 用户使用原有WebLogic SAML2的凭据登录后，WebLogic发送SAML断言到WSO2 IS
4. WSO2 IS验证断言合法性，提取用户身份，然后颁发OAuth2令牌给应用
5. 用户无需再次登录，即可访问新应用；同时原有WebLogic SP的SSO流程依然正常运行

关键注意事项 #

• 确保WebLogic IDP和WSO2 IS的系统时间同步，否则SAML断言的有效期校验会失败
• 配置WebLogic IDP时，需要将WSO2 IS的SAML实体ID添加到WebLogic的可信SP列表中，避免WebLogic拒绝WSO2的认证请求
• 如果需要双向的SSO（比如从WSO2 OAuth2应用跳转到WebLogic SP也能自动登录），可以进一步配置WSO2 IS作为SAML2 SP对接WebLogic IDP，实现完全的跨体系身份打通

内容的提问来源于stack exchange，提问作者Tomislav Dedus