これらの2つの方法のどちらがSAMLアーキテクチャに適していますか

Question

方法1
ブラウザはサービスプロバイダーに向けられています。サービスプロバイダはクッキーセットがあるかどうかをチェックし、そうでない場合はブラウザをアイデンティティプロバイダにリダイレクトし、アイデンティティプロバイダ（IdP）がユーザを検証してIDをサービスプロバイダ（SP）にリダイレクトします。 SPはそのIDをブラウザのセッションクッキーとして設定し、ユーザーをサービスにリダイレクトします。次回は、ユーザが同じセッションで再度サービスを要求すると、SPはクッキーをチェックし、直接サービスにリダイレクトします。

方法2
ブラウザはサービスプロバイダーに向けられています。サービスプロバイダはIdPにリダイレクトします。 IdPはCookieをチェックし、Cookieが存在しない場合、IdPはブラウザでユーザーとセッションCookieを認証します。肯定応答をSPにリダイレクトします。 SPはユーザーをサービスにリダイレクトします。次回ユーザがセッション内でサービスを要求すると、ブラウザはサービスプロバイダに転送されます。サービスプロバイダはIdP.IdPにリダイレクトしてCookieをチェックし、存在する場合はSPに肯定応答を送信します。

Answer 1

いずれかが有効なSAML実装であるとは思われません。通常、SAML ID情報はHTTP POSTまたはSOAP Webサービス（http://en.wikipedia.org/wiki/Security_Assertion_Markup_Language#SAML_2.0_bindings参照）で通信されます。 Cookieは、ユーザーの認証には使用されません。

私たちには、HTTP POSTで通信されたSAML 2.0 XMLを使用してユーザーを認証するWebアプリケーションがあります。当社の顧客の従業員は、アプリケーションにアクセスするためにファイアウォールの側面にあるアイデンティティプロバイダを経由します。

Answer 2

Guanxi Shibboleth（SAML2プロファイル）を実装し、Shibboleth itselfを「方法1」に簡略化することができると確信しています。

既存のSAML2プロファイルの実装を確認する方がよいでしょう。