应该在依赖方上安装哪个证书？

Question

假设我在 IDP 端有一个私钥证书。 Idp 签署 saml 响应并将其发送给 RP。 RP 将使用 idp 的 public 密钥证书对 saml 响应进行数字验证。 我是否需要在 RP 的机器上安装 idp 的 public 密钥证书和根证书以进行链信任？？或者只需要安装 ROOT 证书

Answer 1

是的，简而言之，必须在 RP 机器上安装根证书 public 密钥才能获得有效的链信任。

如果使用 IdP 元数据配置 IdP 信任，则 IdP 签名证书会自动下载到 RP。因此，只有根证书 public 密钥必须安装在 RP 机器上才能获得有效的链信任。

否则，如果 RP 不使用 IdP 元数据。 IdP public 密钥必须可供 RP 访问（已安装或作为文件）并且根证书 public 密钥必须安装在 RP 计算机上。