Jego profil Web Browser Single Sign-On pozwala powszechnie dostawcy tożsamości uwierzytelnić użytkownika i wysłać asercję do dostawcy usługi, który polega na tym wyniku.
W przepływie inicjowanym przez dostawcę usługi dostawca usługi wysyła żądanie uwierzytelnienia i otrzymuje odpowiedź SAML przez przeglądarkę użytkownika. Dostawca usługi waliduje odpowiedź i asercję, w tym wydawcę, podpis, odbiorcę, grupę odbiorców (audience), warunki czasowe, korelację żądania i zasady potwierdzania podmiotu. Metadane powszechnie dystrybuują identyfikatory encji, punkty końcowe, obsługiwane powiązania (bindings) i certyfikaty weryfikacyjne między zaufanymi stronami.
Najważniejsze punkty
Asercje i profileStwierdzenia uwierzytelniające opisują zdarzenie uwierzytelnienia; stwierdzenia atrybutów niosą wybrane dane podmiotu; profile ograniczają, jak komunikaty SAML są używane do konkretnego celu.
WalidacjaStosuj pełne reguły przetwarzania wybranego profilu, zamiast jedynie sprawdzać, czy jakiś element XML jest podpisany, oraz odrzucaj nieoczekiwanych wydawców, miejsca docelowe, algorytmy i zduplikowane identyfikatory.
OperacjeChroń klucze podpisujące, planuj rotację certyfikatów i tolerancję zegarów, minimalizuj atrybuty, testuj awarie dostawcy tożsamości i rozróżniaj sesje dostawcy tożsamości oraz dostawcy usługi podczas wylogowywania.
Istotne ograniczenieSAML to elastyczne ramy federacyjne, a nie gwarancja bezpiecznego logowania jednokrotnego. Niebezpieczne przetwarzanie XML, błędy walidacji podpisów, nieaktualne metadane, zbyt szerokie atrybuty lub słabe sesje lokalne mogą pogrzebać integrację wyglądającą na zgodną.