简介
SAP支持多种认证方式（SAML、OAUTH、Certificate等），什么是物联网应用技术，实现对云平台应用的用户认证。SAP云平台集成SAP云平台上的应用程序通常使用表单（通过SAML实现）身份验证将用户登录到WebUI，并使用角色/证书身份验证IFlow运行时端点。
使用基本身份验证或OAUTH访问令牌可以实现对运行时端点的基于角色的身份验证。虽然基本认证不需要解释，但您可以阅读Divya Mary的博客"安全连接（OAuth）到SAP云平台集成"，了解如何使用OAuth–客户端凭据流将消息发送到运行时端点。
在这个博客中，我将解释如何将OAUTH2–SAML承载断言流实现到SAP云应用程序注意：我在这里使用SAP CPI作为一个用例，但是流实现对于任何使用OAUTH保护的SAP云应用程序资源都是相同的。
OAUTH2SAMLBearer断言流
安全断言标记语言（SAML）2.0是一个基于XML的框架，允许身份和安全性为SSO跨安全域共享的信息。RFC7522定义了当客户端希望在授权服务器上使用现有信任关系而无需直接用户批准步骤时，如何使用SAML断言来请求访问令牌。这个高层次的流程包括以下步骤：
在发送方和接收方之间建立信任。发送方生成一个短暂的SAML断言并将其发布到接收方应用程序令牌端点。接收方使用现有信任验证SAML断言，大数据的前景，并发出具有请求范围的访问令牌。发送方使用收到的承载令牌进行资源调用。
场景
发送方和SAP CPI之间的主要传播基于开放标准协议，因此它与供应商无关。因此，身份传播可以通过部署在私有/公共云或内部部署和SaaS应用程序上的任何应用程序实现（主要是通过开发工作）。
在本博客中，我将解释如何实现发送者和SAP云平台之间的信任设置、OAUTH SAML承载（1）和OAUTH保护资源调用（2）实现。
注意：SAP云应用程序之间的主体传播使用OAUTH2–SAML承载提供支持。因此它超出了这个博客的范围。信任建立
信任建立分两步进行，即添加IDP和在SAP云平台中注册OAUTH客户端。
但在Salesforce、Successfactor等大多数应用程序中，这是一步，即创建OAUTH客户端并关联签名证书和角色分配。希望SAP将来能简化它。
生成一个密钥对（自我/CA签名）或发送方应用程序使用的现有密钥对。发送方应用程序实现逻辑来生成一个短暂的SAML断言，并用私钥对其签名。共享X.509证书，即公钥或签名密钥。
2 SAML断言
发送方应用程序应实现生成包含登录用户主体的SAML响应的代码，并使用私钥对断言进行签名。
发送方应用程序生成以下格式的SAML承载断言。
发送方应用程序PostBase64编码SAML承载断言到SAP云平台令牌端点。
注意：RFC7522使用base64url编码断言定义，但是SAP实现使用Base64。记下它并相应地实现客户端。
下面是使用Postman的请求/响应示例。
SAP云平台在发出承载访问令牌之前验证客户端凭据和SAML断言。
4。调用SAP CPI端点
发送方应用程序使用检索到的承载令牌调用SAP CPI IFlow运行时端点。
下面是一个邮递员示例。
5。检索SAP CPI IFlow中的用户主体
发送方应用程序中的用户主体填充在"SAP\U AuthHeaderValue"交换属性中。
对其进行解码以检索传播的用户标识，如下所示。
您可以注意到，
Name属性按照第1.2节第2步"用户ID源"中的配置进行填充。按照第1.2节步骤3"默认和基于断言的属性"中的配置填充IDP和CustEmailcom.sap.security公司.oauth2.clientId填充了第1.3节
6中创建的OAUTH客户端。将身份传播到目标应用程序
实现端到端SSO的一般原则是将流分解为两种，即发送方到SAP CPI和SAP CPI到接收方，并选择每个分支的接收方支持的主要传播机制。前者支持OAUTH–SAML承载断言，如本文所示，后者可以使用OAUTH–JWT、OAUTH–SAML实现，SAML等
为了实现最后一英里安全和主体传播
根据目标应用程序的要求检索唯一的用户标识符，大数据分享，中移物联网有限公司，即SAP CPI主体传播交换属性中的用户ID或电子邮件。使用在SAP CPI中检索到的用户主体实现目标应用程序支持的SSO机制。
在我的场景中，大淘客网，我使用OAUTH–JWT承载流将标识传播到Salesforce，如本博客系列"SAP CPI–Salesforce Rest API Integration using OAUTH JWT Bearer Flow"中所示。这是一个参考解决方案，可用于支持OAUTH–JWT承载流的任何目标应用程序。
另外阅读"SAP云平台集成–与SuccessFactors OData V2的主体传播"博客，了解如何使用OAUTH–SAML承载断言实现对成功因素的身份传播。
