Un furnizor de identitate autentifică o persoană sau alt subiect și emite o aserțiune protejată către o parte care se bazează pe ea. Partea care se bazează validează acea aserțiune și folosește conținutul său pentru a stabili o sesiune locală sau a susține altă tranzacție.
Protocoalele de federație precum OpenID Connect și Security Assertion Markup Language definesc cum circulă aserțiunile și metadatele conexe între părți. Acordul de încredere și implementarea trebuie să definească emițătorii acceptați, cheile, audiențele, identificatorii de subiect, atributele, asigurarea, duratele de viață și regulile de confidențialitate. Maparea conturilor locale, aprovizionarea și autorizarea rămân responsabilități ale serviciului care se bazează sau ale sistemelor de ciclu de viață conectate.
Puncte esențiale
Stabilirea încrederiiPărțile convin cum sunt identificați emițătorii și părțile care se bazează, cum sunt menținute cheile și metadatele și ce profiluri de protocol sunt acceptate.
Validarea aserțiuniiVerificați emitentul, semnătura, audiența, limitele de timp, legarea de tranzacție, maparea subiectului și alte protecții cerute de protocolul ales.
Ciclul de viață și confidențialitateLimitați atributele eliberate, gestionați modificările de identificatori, revocați sau dezactivați accesul prompt și înțelegeți ce activitate poate observa furnizorul de identitate.
Limitare importantăFederația mută și concentrează încrederea; nu elimină compromiterea. Cheile de semnare furate, legarea nesigură a conturilor, aserțiunile rejucabile, autentificarea slabă sau un furnizor de identitate compromis pot afecta fiecare parte care acceptă rezultatul.