Dostawca tożsamości uwierzytelnia osobę lub inny podmiot i wydaje chronioną asercję stronie ufającej (relying party). Strona ufająca waliduje tę asercję i używa jej treści do ustanowienia lokalnej sesji lub obsługi innej transakcji.
Protokoły federacyjne takie jak OpenID Connect i Security Assertion Markup Language definiują, jak asercje i powiązane metadane przemieszczają się między stronami. Umowa o zaufaniu i implementacja muszą definiować akceptowanych wydawców, klucze, odbiorców, identyfikatory podmiotów, atrybuty, pewność, czasy życia i zasady prywatności. Lokalne mapowanie kont, provisioning i autoryzacja pozostają odpowiedzialnością usługi ufającej lub połączonych systemów cyklu życia.
Najważniejsze punkty
Ustanowienie zaufaniaStrony uzgadniają, jak wydawcy i strony ufające są identyfikowane, jak klucze i metadane są utrzymywane oraz które profile protokołów są akceptowane.
Walidacja asercjiSprawdzaj wydawcę, podpis, odbiorcę, granice czasowe, wiązanie z transakcją, mapowanie podmiotu i inne zabezpieczenia wymagane przez wybrany protokół.
Cykl życia i prywatnośćOgraniczaj ujawniane atrybuty, obsługuj zmiany identyfikatorów, szybko unieważniaj lub wyłączaj dostęp i rozumiej, jaką aktywność dostawca tożsamości może obserwować.
Istotne ograniczenieFederacja przesuwa i koncentruje zaufanie; nie eliminuje kompromitacji. Skradzione klucze podpisujące, niebezpieczne łączenie kont, odtwarzalne asercje, słabe uwierzytelnianie lub skompromitowany dostawca tożsamości mogą dotknąć każdą stronę ufającą, która akceptuje wynik.