Ein Identitätsanbieter authentifiziert eine Person oder ein anderes Subjekt und stellt einer Relying Party eine geschützte Assertion aus. Die Relying Party validiert diese Assertion und nutzt ihren Inhalt, um eine lokale Sitzung aufzubauen oder eine andere Transaktion zu unterstützen.
Federationsprotokolle wie OpenID Connect und Security Assertion Markup Language definieren, wie Assertions und zugehörige Metadaten zwischen den Parteien wandern. Die Vertrauensvereinbarung und Implementierung müssen akzeptierte Issuer, Schlüssel, Audiences, Subjektidentifikatoren, Attribute, Zusicherung, Laufzeiten und Datenschutzregeln festlegen. Lokale Kontozuordnung, Provisioning und Autorisierung bleiben Aufgaben des vertrauenden Dienstes oder verbundener Lebenszyklussysteme.
Wichtigste Punkte
VertrauensaufbauDie Parteien vereinbaren, wie Issuer und Relying Parties identifiziert werden, wie Schlüssel und Metadaten gepflegt werden und welche Protokollprofile akzeptiert werden.
Assertion-ValidierungIssuer, Signatur, Audience, Zeitgrenzen, Transaktionsbindung, Subjektzuordnung und andere Schutzmaßnahmen des gewählten Protokolls prüfen.
Lebenszyklus und DatenschutzFreigegebene Attribute begrenzen, Identifikatoränderungen behandeln, Zugriff zeitnah widerrufen oder deaktivieren und verstehen, welche Aktivität der Identitätsanbieter beobachten kann.
Wichtige EinschränkungFederation verlagert und konzentriert Vertrauen; sie beseitigt Kompromittierung nicht. Gestohlene Signaturschlüssel, unsichere Kontoverknüpfung, wiederholbare Assertions, schwache Authentifizierung oder ein kompromittierter Identitätsanbieter können jede Relying Party treffen, die das Ergebnis akzeptiert.