Profilul său Web Browser Single Sign-On permite în mod obișnuit unui furnizor de identitate să autentifice un utilizator și să trimită o aserțiune unui furnizor de servicii care se bazează pe acel rezultat.
Într-un flux inițiat de furnizorul de servicii, furnizorul de servicii trimite o cerere de autentificare și primește un răspuns SAML prin browserul utilizatorului. Furnizorul de servicii validează răspunsul și aserțiunea, inclusiv emitentul, semnătura, destinatarul, audiența, condițiile de timp, corelarea cererii și regulile de confirmare a subiectului. Metadatele distribuie în mod obișnuit identificatori de entitate, endpointuri, legături suportate și certificate de verificare între părțile de încredere.
Puncte esențiale
Aserțiuni și profiluriDeclarațiile de autentificare descriu un eveniment de autentificare; declarațiile de atribute poartă date selectate despre subiect; profilurile constrâng cum sunt folosite mesajele SAML pentru un anumit scop.
ValidareAplicați regulile complete de procesare ale profilului selectat, în loc să verificați doar că un element XML este semnat, și respingeți emițătorii, destinațiile, algoritmii și identificatorii duplicați neașteptați.
OperațiuniProtejați cheile de semnare, planificați rotirea certificatelor și toleranța de ceas, minimizați atributele, testați întreruperile furnizorului de identitate și distingeți sesiunile furnizorului de identitate și furnizorului de servicii în timpul deconectării.
Limitare importantăSAML este un cadru de federație flexibil, nu o garanție de single sign-on securizat. Procesarea nesigură de XML, greșelile de validare a semnăturii, metadatele învechite, atributele prea largi sau sesiunile locale slabe pot înfrânge o integrare care pare conformă.