Poskytovatel identity autentizuje osobu či jiný subjekt a vydává chráněný assertion spoléhající straně. Spoléhající strana tento assertion validuje a používá jeho obsah k vytvoření lokální relace či podpoře jiné transakce.
Federační protokoly jako OpenID Connect a Security Assertion Markup Language definují, jak se assertions a související metadata pohybují mezi stranami. Dohoda o důvěře a implementace musí definovat akceptované vydavatele, klíče, publika, identifikátory subjektů, atributy, jistotu, životnosti a pravidla soukromí. Lokální mapování účtů, provisioning a autorizace zůstávají odpovědností spoléhající služby či připojených systémů životního cyklu.
Klíčové body
Vytvoření důvěryStrany se dohodnou, jak jsou vydavatelé a spoléhající strany identifikovány, jak jsou klíče a metadata udržována a které profily protokolů jsou akceptovány.
Validace assertionuKontrolujte vydavatele, podpis, publikum, časové hranice, vázání transakce, mapování subjektu a další ochrany vyžadované zvoleným protokolem.
Životní cyklus a soukromíOmezte uvolňované atributy, zpracovávejte změny identifikátorů, rychle rušte či deaktivujte přístup a rozumějte tomu, jakou aktivitu poskytovatel identity může pozorovat.
Důležité omezeníFederace důvěru přesouvá a koncentruje; kompromitaci neeliminuje. Odcizené podpisové klíče, nebezpečné linkování účtů, přehratelné assertions, slabá autentizace či kompromitovaný poskytovatel identity mohou zasáhnout každou spoléhající stranu, která výsledek akceptuje.