O que é Security Assertion Markup Language (SAML)?
24 de maio de 2021
Noções básicas sobre SAML
A Security Assertion Markup Language (SAML) é um padrão de federação aberta que permite que um provedor de identidades (IdP) autentique usuários e passe um token de autenticação para outro aplicativo conhecido como prestador de serviço (SP). O SAML permite que o SP opere sem ter que executar a própria autenticação e informar a identidade para integrar usuários internos e externos. Ele permite que as credenciais de segurança sejam compartilhadas com um SP em uma rede, normalmente um aplicativo ou serviço. O SAML permite a comunicação segura e entre domínios para a nuvem pública e outros sistemas habilitados para SAML, bem como um número selecionado de outros sistemas de gerenciamento de identidade localizados on-premises ou em uma nuvem diferente. Com o SAML, é possível habilitar uma experiência de logon único (SSO) para os usuários em dois aplicativos que ofereçam suporte ao protocolo e serviços SAML, permitindo que um SSO execute várias funções de segurança em nome de um ou mais aplicativos.
O SAML está relacionado à linguagem variante de XML usada para codificar essas informações e também pode abranger várias mensagens de protocolo e perfis que fazem parte do padrão.
Duas funções principais de segurança do SAML
Autenticação:: determinar que os usuários são quem eles afirmam ser
Autorização:: transmite a autorização do usuário para aplicativos, concedendo acesso a determinados sistemas ou conteúdo
Explore como a Oracle usa o SAML para aumentar a segurança com um único clique.
Saiba como utilizar o SAML de on-premises para a nuvem.
Como a SAML funciona?
O SAML transmite informações sobre usuários, logins e atributos entre o provedor de identidades e o SP. Cada usuário se autentica uma vez em um IdP e pode facilmente estender a sessão de autenticação para vários aplicativos. O IdP transmite o que é conhecido como declaração SAML para o SP quando o usuário tenta acessar esses serviços. O SP solicita a autorização e autenticação da identificação.
Exemplo de SAML:
- Faça login e acesse a autenticação de SSO.
- Exporte metadados do provedor de identidade e importe-os.
- O sistema de identidades entenderá mais sobre o provedor de identidades SSO para exportar metadados do sistema de identidades.
- Forneça os metadados à sua equipe do provedor de identidades SSO.
- Teste e ative o SSO.
- Recomendamos que os usuários façam login apenas com suas credenciais de SSO.
Quem é provedore de SAML?
Um provedor SAML é um sistema que ajuda os usuários a obter acesso a um serviço necessário. O SAML transfere dados de identidade entre duas partes, um IdP e um SP. Existem dois tipos principais de provedores SAML:
- Provedor de identidades (IdP) - executa a autenticação e informa a identidade do usuário e o nível de autorização ao prestador de serviço (SP). O IdP autenticou o usuário enquanto o SP permite o acesso com base na resposta fornecida pelo IdP.
- Provedor de serviços (SP) — confia no IdP e autoriza o usuário fornecido a acessar o recurso solicitado. Um SP requer a autenticação do IdP para conceder autorização ao usuário e, como os sistemas compartilham o mesmo idioma, o usuário só precisa fazer login uma vez.
O que é uma declaração SAML?
Uma declaração SAML é um documento XML que o provedor de identidade envia ao SP contendo o status de autorização do usuário. Os três tipos distintos de Declarações SAML são decisões de autenticação, atributo e autorização.
- As declarações de autenticação ajudam a verificar a identificação de um usuário e fornecem a hora em que um usuário efetua login e qual método de autenticação é usado (por exemplo, senha, MFA, Kerbeos etc.)
- A declaração atribuída informa o token SAML para o SP. O atributo usado pelo SAML para identificar o usuário é considerado o mesmo no diretório IdP e SP. Os atributos SAML são dados específicos que fornecem informações sobre o usuário
- Uma declaração de decisão de autorização indica se um usuário está autorizado a usar um serviço ou se o provedor de identidades negou a solicitação devido a uma falha de senha ou falta de direitos a um serviço
Casos de uso de SAML e OAuth
O SAML é usado principalmente para habilitar o logon único (SSO) do navegador da Web. O objetivo da experiência do usuário para SSO é permitir que um usuário faça a autenticação uma vez e obtenha acesso a sistemas protegidos separadamente sem reenviar as credenciais. O objetivo de segurança é garantir que os requisitos de autenticação sejam atendidos em cada perímetro de segurança.
- Gerencie identidades na nuvem e on-premises. Habilite uma abordagem unificada para gerenciamento de identidade e acesso com fluxos de trabalho baseados em nuvem, provisionamento de usuário simplificado e autoatendimento do usuário. A integração de padrões abertos reduz a sobrecarga e a manutenção, fornecendo provisionamento e gerenciamento de usuários simplificados na nuvem e on-premises
- Simplifique as tarefas de identidade. Reduz a necessidade de alterações repetitivas de usuário, função e grupo em vários ambientes. Isso fornece uma ponte de identidade que sincroniza direitos de identidade em serviços on-premises e na nuvem
- Estratégia de confiança zero. Aplique políticas de acesso usando serviço baseado em nuvem para logon único (SSO), aplicação de senha forte e MFA (Multifactor Authentication, Autenticação multifator). Com a autenticação adaptável, o risco é reduzido, aumentando os requisitos de login quando o acesso do usuário é considerado de alto risco com base no dispositivo, na localização ou nas atividades
- Gerencie o acesso digital do cliente. Aprimore a experiência de acesso do consumidor com interfaces de usuário de autoatendimento e telas de login personalizáveis com a marca. A habilitação flexível de acesso do cliente ajuda a integrar serviços de terceiros e aplicativos personalizados usando APIs REST e integração baseada em padrões
Como otimizar a experiência de login do usuário
A experiência do usuário é extremamente importante para qualquer aplicativo e deve ter início a partir do momento em que o usuário começa a interagir com ele. A primeira atividade é geralmente o processo de login. Se esta operação for complicada ou não intuitiva, pode reduzir a experiência geral de uso do aplicativo. O Oracle Identity Cloud Service (IDCS) gerencia o acesso e os direitos do usuário em uma grande variedade de aplicativos e serviços on-premises e na nuvem usando uma plataforma IDaaS (identity as a service) nativa da nuvem que atua como a porta de entrada na Oracle Cloud para obter identidades externas. Com isso, as organizações podem habilitar uma estratégia de confiança zero e estabelecer o gerenciamento de identidade do usuário como um novo perímetro de segurança.