Jeho profil Web Browser Single Sign-On běžně umožňuje poskytovateli identity autentizovat uživatele a odeslat assertion poskytovateli služby, který na tento výsledek spoléhá.
V toku iniciovaném poskytovatelem služby poskytovatel služby odesílá autentizační žádost a přijímá odpověď SAML skrze prohlížeč uživatele. Poskytovatel služby validuje odpověď a assertion, včetně vydavatele, podpisu, příjemce, publika, časových podmínek, korelace žádosti a pravidel potvrzení subjektu. Metadata běžně distribuují identifikátory entit, koncová zařízení, podporované bindingy a verifikační certifikáty mezi důvěryhodnými stranami.
Klíčové body
Assertions a profilyAutentizační statements popisují autentizační událost; statements atributů nesou vybraná data subjektu; profily omezují, jak jsou zprávy SAML používány pro konkrétní účel.
ValidaceAplikujte kompletní pravidla zpracování zvoleného profilu, místo pouhé kontroly, že nějaký XML element je podepsán, a zamítejte neočekávané vydavatele, destinace, algoritmy a duplicitní identifikátory.
OperaceChraňte podpisové klíče, plánujte rotaci certifikátů a toleranci hodin, minimalizujte atributy, testujte výpadky poskytovatele identity a rozlišujte relace poskytovatele identity a služby při odhlášení.
Důležité omezeníSAML je flexibilní federační framework, nikoli záruka bezpečného jednotného přihlášení. Nebezpečné zpracování XML, chyby validace podpisů, zastaralá metadata, příliš široké atributy či slabé lokální relace mohou zničit konformně vypadající integraci.