SAML

Problem

Ein Mitarbeiter meldet sich im Corporate Identity System an. Eine separate Enterprise-Webanwendung muss diesem Login vertrauen, ohne ihr eigenes Passwort beizubehalten.

Lösung — SAML

SAML steht für Security Assertion Markup Language. Der Identitätsanbieter sendet eine unterzeichnete Bestätigung an die Anwendung.

Identitätsanbieter
      ↓
"Benutzer Alice authentifiziert"
      ↓
Anwendung

Bei einer typischen Browser-Anmeldung leitet die Anwendung zum Identitätsanbieter weiter. Nach der Anmeldung liefert dieser eine Seite mit einem versteckten Formular, das die SAML-Antwort automatisch über den Browser per HTTP POST an die Anwendung sendet. Die Anwendung überprüft die Signatur, den beabsichtigten Empfänger, den Ablauf und die Übereinstimmung der Anmeldeanforderungen und erstellt dann eine Sitzung, die von einem Browser-Cookie verfolgt wird. Dieser Fluss verwendet XML über HTTP, ohne SOAP.

Kerngedanke: SAML ermöglicht eine föderierte Identität, insbesondere in unternehmensbrowserbasierter SSO.