SaaS提供商的IdP / STS，SaaS客户在哪里进行自己的用户管理？

（这个问题不是关于编程，而是关于如何避免进行任何编程。此外，这里有很多术语 - 我假设某人有答案就已经知道他们的意思了。） 背景：我正在一个具有“联合身份”的环境中进行单点登录。我们有几个可识别联合的产品（使用例如WS-Federation或SAML协议，用例如.NET上的WIF和Java上的Fedlet实现），并且使用SaaS模型向客户提供它们。许多客户没有自己的用户名/密码存储，因此他们不会自己运行“身份提供商”。 问题：那里有产品吗？ 可以安装在SaaS提供商处; 在SaaS提供的应用程序中扮演IdP / STS（即联合环境中的身份提供者）的角色; 拥有自己的用户名/密码存储区，分别针对每个SaaS客户（“租户”）; 允许SaaS客户进行自己的用户管理，而无需SaaS提供商的帮助。 （我们可以自己构建这个，例如，在用户管理员屏幕的WIF之上作为自定义STS，但我们试图避免这种情况。这不是我们的核心业务。）