Mi equipo tiene la tarea de implementar SSO en nuestra aplicación web (.net 4.8 completo alojado en Azure). Sin embargo, necesitamos confiar en la autenticación de una aplicación externa.

Un poco de contexto. Imagine que hay 2 empresas separadas (A y B) que tienen aplicaciones web separadas (SP_A y SP_B). Somos la empresa B en este contexto.

Aquí está el flujo de trabajo solicitado:

1. Un usuario de SP_A inicia sesión en SP_A. El proceso de autenticación es desconocido para nosotros.
2. Este usuario desea iniciar sesión en SP_B sin escribir la contraseña y el correo electrónico (almacenados para autenticarlos en SP_B).
3. Hacen clic en un botón en algún lugar de SP_A y "mágicamente" los registra en nuestro SP_B sin ningún aviso.

Lo hemos logrado con tokens JWT anidados en encabezados de autorización. Esto es lo que sucede detrás de escena:

1. Un usuario presiona el botón en SP_A que realiza una llamada a nuestra API REST. La solicitud tiene 2 parámetros: a. Clave API (se la proporcionamos a la empresa A), b. nombre de empresa
2. La API confirma que la clave API está asignada a dicha empresa (A) y emite un JWT
3. El token JWT se devuelve al cliente y se incluye en los encabezados de autenticación con todas las solicitudes posteriores
4. La siguiente solicitud a nuestra API contiene el correo electrónico del usuario y el nombre de la organización. La API verifica que dicho usuario también existe en nuestra base de datos, lo autentica y lo registra en la aplicación web SP_B.

Nuestro cliente solicitó que usáramos el protocolo SAML2.0 en su lugar.

Estoy usando proyectos de muestra de ITfoxtec como punto de partida, pero estoy bastante perdido. Todos los artículos externos desean habilitar un IdP centralizado que solicitará al usuario una contraseña y un correo electrónico una vez y las reclamaciones pasarán del IdP a los SP. No se aplica a nuestro caso, ya que los usuarios están autenticados en la aplicación SP_A.

¿Pensamientos?