最近在做一个项目，需要使用 simplesamlphp 作为身份提供商 (idp)，与一些使用 ws-federation 协议的应用程序进行集成。这意味着我们需要实现 ws-federation 协议，这对于我们团队来说是一个全新的领域。在查阅了大量的文档和示例后，我们发现手动实现 ws-federation 协议非常复杂，需要处理各种细节，包括消息格式、签名验证、安全令牌等等。这不仅耗时，而且容易出错。
幸运的是，我们发现了 simplesamlphp/simplesamlphp-module-adfs 模块。这个模块专门用于将 SimpleSAMLphp 转换为 WS-Federation IDP，简化了集成过程。
安装 simplesamlphp/simplesamlphp-module-adfs 模块非常简单，只需使用 Composer：
vendor/bin/composer require simplesamlphp/simplesamlphp-module-adfs
安装完成后，我们需要启用该模块。打开 config.php 文件，找到 module.enable 键，并将 adfs 设置为 true：
'module.enable' => [
'adfs' => true,
// ...其他模块
],接下来，我们需要配置 IDP 和信赖方 (SP)。模块的 metadata-templates 目录下提供了一些示例配置文件，可以根据实际情况进行修改。adfs-sp-remote.php 文件用于配置信赖方，其中的 realm 类似于 SAML 中的 entityId。
立即学习“PHP免费学习笔记（深入）”；
在使用 WS-Federation 时，需要注意一些概念。realm 类似于 SAML 中的 entityId，用于唯一标识一个信赖方。IP STS 类似于 IDP，负责颁发安全令牌。
此外，一些 WS-Federation 信赖方应用程序可能需要比应用程序会话更长的断言生命周期。如果断言生命周期过短，应用程序会频繁地将用户重定向到 IDP 重新登录。SimpleSAMLphp 的默认断言生命周期为 5 分钟，而 SharePoint 默认需要 10 分钟。可以使用 adfs-sp-remote.php 文件中的 assertion.lifetime 参数来设置断言生命周期，确保其大于 SharePoint 中设置的值（可以通过调整 LogonTokenCacheExpirationWindow 来配置 SharePoint 的断言生命周期）。
使用 simplesamlphp/simplesamlphp-module-adfs 模块，我们成功地将 SimpleSAMLphp 集成到 WS-Federation 环境中，简化了开发和部署过程。该模块的主要优势包括：
- 简化 WS-Federation 集成： 无需手动实现复杂的 WS-Federation 协议，大大降低了开发难度。
- 易于配置： 提供了示例配置文件，可以根据实际情况进行修改。
- 灵活的断言生命周期控制： 可以根据信赖方应用程序的需求，灵活地配置断言生命周期。
总而言之，simplesamlphp/simplesamlphp-module-adfs 模块是 SimpleSAMLphp 与 WS-Federation 应用程序集成的理想选择。它简化了开发过程，提高了效率，并提供了灵活的配置选项。
