Ce este SAML (Security Assertion Markup Language – Limbajul de marcaj al aserțiunii securității)?
Înțelegerea SAML
Security Assertion Markup Language (SAML) este un standard de federalizare deschisă, care îi permite unui furnizor de identități (IdP) să autentifice utilizatorii și apoi să transfere un token de autentificare către altă aplicație, cunoscută ca furnizor de servicii (SP). SAML permite SP să funcționeze fără a trebui să efectueze propria autentificare și să transmită identitatea pentru integrarea utilizatorilor interni și externi. De asemenea, permite transmiterea acreditărilor de securitate către SP dintr-o rețea, de obicei o aplicație sau un serviciu. SAML permite comunicarea securizată, în diverse domenii, între cloudul public și alte sisteme activate prin SAML, precum și anumite sisteme de management al identităților, aflate on-premises sau într-un alt cloud. Cu SAML, puteți activa o experiență de conectare unică (SSO) pentru utilizatori în oricare dintre cele două aplicații care acceptă protocolul și serviciile SAML, permițând SSO să efectueze mai multe acțiuni de securitate în numele uneia sau mai multor aplicații.
SAML se referă la limbajul variantelor XML utilizat pentru codificarea acestor informații și poate acoperi, de asemenea, diverse mesaje și profiluri de protocol care fac parte din standard.
Cele două funcții de securitate principale ale SAML
Aflați cum utilizează Oracle SAML pentru a spori securitatea cu un singur clic.
Aflați mai multe despre utilizarea SAML de la on-premises până la cloud.
Cum funcționează SAML?
SAML funcționează prin trimiterea de informații despre utilizatori, conectări și atribute între furnizorul de identități și SP. Fiecare utilizator se autentifică o dată la IdP, după care poate extinde fără probleme sesiunea de autentificare la nenumărate aplicații. IdP transmite către SP ceea ce este cunoscut ca o aserțiune SAML atunci când utilizatorul încearcă să acceseze serviciul respectiv. SP solicită autorizarea și autentificarea de la furnizorul de identități.
Exemplu de SAML:
- Vă conectați și accesați autentificarea SSO.
- Exportați metadatele de la furnizorul de identități și le importați.
- Sistemul de identități va cunoaște mai multe despre furnizorul de identități SSO, pentru exportul metadatelor din sistemul de identități.
- Puneți metadatele la dispoziția echipei dumneavoastră de furnizor de identități SSO.
- Testați și activați SSO.
- Este recomandabil ca utilizatorii să se conecteze doar cu acreditările lor SSO.
Ce este un furnizor de SAML?
Un furnizor de SAML este un sistem care ajută utilizatorii să obțină accesul la un serviciu necesar. SAML transferă datele de identitate între două părți, un IdP și un SP. Există două tipuri principale de furnizori de SAML:
Furnizorul de identități (IdP) - efectuează autentificarea și îi transmite furnizorului de servicii (SP) nivelul de identitate și de autorizare al utilizatorului. IdP a autentificat utilizatorul, iar SP îi permite acestuia accesul, pe baza răspunsului oferit de IdP.
Furnizorul de servicii (SP) - pe baza răspunsului afirmativ al IdP, autorizează utilizatorul respectiv să acceseze resursa solicitată. Un SP are nevoie de autentificarea de la IdP pentru a acorda autorizarea pentru utilizator și, deoarece ambele sisteme folosesc același limbaj, utilizatorul trebuie să se conecteze doar o singură dată.
Ce este o aserțiune SAML?
O aserțiune SAML este un document XML ce conține starea de autorizare a utilizatorului, pe care furnizorul de identități îl trimite către SP. Aserțiunile SAML sunt de trei tipuri: decizii de autentificare, decizii de atribut și decizii de autorizare.
- Aserțiunile de autentificare ajută la verificarea identificării unui utilizator, indicând ora la care se conectează acesta și metoda de autentificare utilizată (de exemplu, parolă, MFA, Kerbeos etc.)
- Aserțiunea de atribut trimite tokenul SAML către SP. Atributul utilizat de SAML pentru identificarea utilizatorului ar trebui să fie identic atât în directorul IdP, cât și în cel al SP. Atributele SAML sunt date care oferă anumite informații despre utilizator
- O aserțiune de decizie de autorizare declară dacă un utilizator este autorizat să utilizeze un serviciu sau dacă furnizorul de identități a respins cererea din cauza greșirii parolei sau a absenței drepturilor la un serviciu
Cazuri de utilizare a SAML și OAuth
SAML se utilizează în principal pentru a activa conectarea unică (SSO) a browserului web. Obiectivul experienței SSO a utilizatorului este de a-i permite acestuia să se autentifice o singură dată și să obțină acces la sisteme securizate separat, fără a mai retrimite apoi acreditările. Obiectivul de securitate este de a asigura îndeplinirea cerințelor de autentificare la fiecare perimetru de securitate.
- Gestionați identitățile în cloud și on-premises. Utilizați o soluție unică pentru managementul identităților și acces, prin care utilizatorii beneficiază de fluxuri de lucru în cloud, alocare simplificată și self-service. Integrarea standardelor deschise reduce costurile indirecte și mentenanța, simplificând totodată alocarea și managementul pentru utilizatori în cloud și on-premises
- Simplificați sarcinile privind identitatea. Utilizatorii, rolurile și grupurile din mai multe medii nu mai trebuie să facă schimbări frecvente. Astfel, se creează o punte a identităților, care sincronizează drepturile la identitate pentru serviciile on-premises și cele din cloud
- Strategia încrederii zero. Impuneți aplicarea politicilor privind accesul utilizând serviciul de conectare unică (SSO) bazat pe cloud, parole puternice și autentificarea în mai mulți pași (MFA). Cu autentificarea adaptivă, riscul este redus prin impunerea mai multor cerințe pentru conectare atunci când accesul utilizatorilor este considerat riscant din cauza dispozitivului, locației sau activității lor
- Gestionați accesul digital al consumatorilor. Îmbunătățiți experiența de acces a consumatorilor cu interfețe self-service și ecrane de conectare personalizabile. Flexibilizarea accesului clienților ajută la integrarea serviciilor terțe și a aplicațiilor personalizate utilizând API-uri REST și integrarea bazată pe standarde
Optimizarea experienței de conectare a utilizatorilor
Experiența utilizatorilor este extrem de importantă pentru orice aplicație și trebuie să înceapă bine chiar de la prima interacțiune. Prima interacțiune este, în general, procesul de conectare. Dacă această operațiune este greoaie sau neintuitivă, poate compromitea experiența generală a utilizării aplicației respective. Oracle Identity Cloud Service (IDCS) gestionează accesul și drepturile utilizatorilor într-o gamă largă de aplicații și servicii în cloud și on-premises, utilizând o platformă nativă de identitate ca serviciu (IDaaS) în cloud, care este ca o poartă de intrare în Oracle Cloud pentru identitățile externe. Astfel, organizațiile pot activa o strategie de încredere zero și pot stabili managementul identității utilizatorilor ca un nou perimetru de securitate.