科普一下SAML：安全聲明標(biāo)記語言
隨著互聯(lián)網(wǎng)的普及，物聯(lián)網(wǎng)的逼近，數(shù)字化時代的真正到來，身份認(rèn)證與訪問授權(quán)的重要性越來越凸顯。SAML(安全聲明標(biāo)記語言)標(biāo)準(zhǔn)定義了供應(yīng)商提供身份驗(yàn)證與授權(quán)服務(wù)的方式。那么關(guān)于SAML，我們需要知道些什么呢?
首先，SAML是可在網(wǎng)絡(luò)中多臺計算機(jī)上共享安全憑證的一個開放標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)描述了一個框架，可使1臺計算機(jī)代表其他多臺計算機(jī)執(zhí)行某些安全功能。
- 身份驗(yàn)證：確定用戶身份與其所聲稱的相符
- 授權(quán)：確定用戶是否有權(quán)訪問特定系統(tǒng)或內(nèi)容
嚴(yán)格來講，SAML是指用于編碼所有這些信息的XML變體語言，但該術(shù)語也涵蓋了組成該標(biāo)準(zhǔn)的各種協(xié)議消息和資料。
SAML 2.0在2005年引入，仍是該標(biāo)準(zhǔn)的當(dāng)前版本。之前的1.1版如今已基本棄用。
SAML是實(shí)現(xiàn)單點(diǎn)登錄(SSO)的一種方法，且SSO也確實(shí)是SAML最常見的用例。我們可以從SSO開始討論SAML的用途，然后深入SAML的組件和操作。
SSO是什么?它能干什么?
單點(diǎn)登錄(SSO)，可使用戶提供一次安全憑證(比如用戶名/口令對)，就能以之訪問多個系統(tǒng)、平臺、App或其他資源。該方法能將用戶從記憶多組登錄名及口令的負(fù)擔(dān)中解脫出來，也可令I(lǐng)T團(tuán)隊(duì)不用再將多個服務(wù)整合到一臺服務(wù)器上，真是讓事情簡單不少。
比如說，公司可用SSO讓用戶既能登錄內(nèi)部服務(wù)器上運(yùn)行的專用Web應(yīng)用，也能登錄托管在SaaS上的ERP(企業(yè)資源計劃)系統(tǒng)。
想要發(fā)揮SSO的功用，用戶必須要能經(jīng)過身份驗(yàn)證就收到授權(quán)。基于其被證實(shí)的身份，訪問其他多臺計算機(jī)。或者以另一種方式：1臺計算機(jī)向在其他多臺計算機(jī)上被授權(quán)的用戶提供服務(wù)。SAML標(biāo)準(zhǔn)定義了所有這些計算機(jī)之間相互安全通信的方式。
SAML提供者是什么?
SAML術(shù)語中，提供者是系統(tǒng)中的一個實(shí)體，通常來講就是一臺服務(wù)器或其他計算機(jī)，幫助用戶訪問所需的服務(wù)。提供或消費(fèi)SAML服務(wù)的系統(tǒng)，一般被稱為服務(wù)提供者;最重要的一種服務(wù)提供者，就是身份提供者。
身份提供者是什么?
身份提供者是系統(tǒng)中的一個實(shí)體，用于確保用戶真的是其所聲稱的身份——提供身份驗(yàn)證。身份提供者還負(fù)責(zé)確認(rèn)系統(tǒng)中各實(shí)體上哪些服務(wù)可以被該用戶訪問。可按SAML標(biāo)準(zhǔn)提供身份驗(yàn)證服務(wù)的實(shí)現(xiàn)有很多種，比如Salesforce就能充當(dāng)身份提供者和這一角色，LDAP、RADIUS或活動目錄(AD)也可以。
SAML聲明是什么?
SAML聲明就是一份XML文檔，所有我們討論的信息都通過它在計算機(jī)間傳遞。一旦身份提供者確認(rèn)你確實(shí)是所聲稱的用戶，且有權(quán)訪問你感興趣的內(nèi)容或服務(wù)，它就會向?qū)嶋H提供這些服務(wù)的服務(wù)器發(fā)出SAML聲明。出于安全考慮，SAML聲明可被加密。
SAML身份驗(yàn)證如何進(jìn)行?
這看起來可能有點(diǎn)抽象，不妨看看下面這張SAML身份驗(yàn)證事務(wù)處理的高級視圖。大多數(shù)情況下用戶代理都是Web瀏覽器。
假設(shè)你是SSO環(huán)境中的用戶，你正試圖訪問服務(wù)器上的某資源。所涉及的一系列事件如下：
- 你試圖訪問服務(wù)器上的資源，也就是SAML術(shù)語中的服務(wù)提供者。該服務(wù)提供者查驗(yàn)?zāi)闶欠袷窍到y(tǒng)中經(jīng)驗(yàn)證過的用戶。如果你是，直接跳轉(zhuǎn)到步驟7;如果你不是，服務(wù)提供者開始身份驗(yàn)證過程。
- 服務(wù)提供者為你確定恰當(dāng)?shù)纳矸萏峁┱撸⒛阒囟ㄏ虻皆撎峁┱?mdash;—也就是SSO服務(wù)。
- 你的瀏覽器向SSO服務(wù)發(fā)送身份驗(yàn)證請求;該服務(wù)對你進(jìn)行識別。
- SSO服務(wù)返回一個XHTML文檔，在SAMLResponse參數(shù)中包含有服務(wù)提供者所需的身份驗(yàn)證信息。
- SAMLResponse參數(shù)被傳遞給服務(wù)提供者。
- 服務(wù)提供者處理該響應(yīng)，并為你創(chuàng)建安全上下文——基本上，就是讓你登錄進(jìn)去，然后告訴你你請求的資源在哪里。
- 有了該信息，你就可以再次請求你感興趣的資源了。
- 該資源最終被返回給你!
你會注意到，該過程中很多步驟很抽象。比如說，SAML是怎么知道恰當(dāng)?shù)纳矸萏峁┱叩模蛘呱矸萏峁┱呤侨绾未_定你就是你所聲稱的用戶的，這些都沒有任何解釋。這不是什么疏漏：SAML標(biāo)準(zhǔn)并沒有定義確切的實(shí)現(xiàn)方法，給IT留有很多余地。
正如前文所述，有很多技術(shù)可供實(shí)際身份驗(yàn)證過程所用;無論你選擇的是Salesforce、LDAP還是別的什么，SAML聲明都會將你經(jīng)過驗(yàn)證的信息在提供者間流轉(zhuǎn)。
如果你想了解更多有關(guān)SAML事務(wù)中消息傳遞的細(xì)節(jié)，你可以深入研究完整XML代碼，了解上述場景中從身份提供者傳遞給服務(wù)提供者的各種聲明。
SAML vs. OAuth：其間區(qū)別是什么?
OAuth(https://oauth.net/)是比SAML略新的標(biāo)準(zhǔn)，由谷歌和推特在2006年聯(lián)合開發(fā)。該標(biāo)準(zhǔn)被開發(fā)的部分原因，是為了補(bǔ)充SAML在移動平臺上的不足，且不是基于XML，而是基于JSON。
除了SAML不那么吸引人的移動支持，這二者之間的區(qū)別在哪里呢?如我們所見，SAML標(biāo)準(zhǔn)定義了提供者提供身份驗(yàn)證和授權(quán)服務(wù)的方式。OAuth則不然，僅處理授權(quán)。
OpenID Connect(http://openid.net/connect/)是更新的標(biāo)準(zhǔn)，于2014年開發(fā)，提供身份驗(yàn)證服務(wù)，處于OAuth上層。
另一個主要的不同，就是其用例。SAML理論上用于開放互聯(lián)網(wǎng)，實(shí)際上最常部署在企業(yè)內(nèi)網(wǎng)，出于單點(diǎn)登錄目的。相比之下，OAuth則是谷歌和推特為了整個互聯(lián)網(wǎng)而設(shè)計的。
