Der Begriff stammt aus SAML; bei OIDC heißt dieselbe Rolle Relying Party oder Client. Der SP leitet nicht angemeldete Nutzer zum IdP, nimmt die signierte Antwort entgegen, prüft Signatur, Zielgruppe und Gültigkeitszeitraum und legt dann eine eigene Sitzung an.
Für die Konfiguration braucht der SP die Metadaten des IdP und stellt eigene bereit: Entity-ID, ACS-URL und gegebenenfalls ein Zertifikat für signierte Anfragen.
Viele Fehler entstehen auf SP-Seite durch die Umgebung: Hinter einem Reverse Proxy erzeugt der SP falsche URLs, oder die Systemzeit weicht ab, und gültige Assertions werden als abgelaufen verworfen.