SAML 1.1 - SAML 1.1

Язык разметки утверждения безопасности (SAML) - это XML стандарт обмена аутентификация и разрешение данные между доменами безопасности. SAML - это продукт ОАЗИС (организация) Технический комитет служб безопасности.

SAML 1.1 был ратифицирован как стандарт OASIS в сентябре 2003 года. Важнейшие аспекты SAML 1.1 подробно описаны в официальных документах SAMLCore^[1] и SAMLBind.^[2] Если вы новичок в SAML, вам, вероятно, следует прочитать вводную SAML сначала тема, а затем SAMLOverview^[3] документ из OASIS.

До SAML 1.1 SAML 1.0 был принят в качестве стандарта OASIS в ноябре 2002 года. SAML претерпел одну незначительную (V1.1) и одну основную редакцию (V2.0), начиная с версии V1.0, которая сама по себе является относительно простым протоколом. Однако SAML 1.0 представляет не только исторический интерес, поскольку Федеральный Инициатива электронной аутентификации приняла SAML 1.0 в качестве своей основной технологии.

Версии 1.0 и 1.1 SAML похожи. См. SAMLDiff^[4] для конкретных различий между двумя стандартами. В этой статье основное внимание уделяется SAML 1.1, поскольку это важный стандарт, от которого зависят многие другие стандарты и реализации.

Предупреждение: Разработчики и разработчики должны помнить, что все примеры кода в этой статье не являются нормативными и предназначены только для иллюстрации. Проконсультируйтесь с Технические характеристики OASIS SAML для нормативных требований.

SAML 1.1 Утверждения

SAML утверждения содержать заявления которые поставщики услуг используют для принятия решений по управлению доступом. Например, утверждения аутентификации утверждать поставщику услуг, что принципал действительно аутентифицировался у поставщика удостоверений в определенное время с использованием определенного метода аутентификации. Другая информация о принципале может быть раскрыта в заявлении об аутентификации. В приведенном ниже утверждении аутентификации, например, адрес электронной почты принципала сообщается поставщику услуг:

      xmlns: saml ="urn: oasis: names: tc: SAML: 1.0: assertion"    MajorVersion ="1" MinorVersion ="1"    AssertionID ="buGxcG4gILg5NlocyLccDz6iXrUa"    Эмитент ="https://idp.example.org/saml"    IssueInstant ="2002-06-19T17: 05: 37.795Z">          NotBefore ="2002-06-19T17: 00: 37.795Z"      NotOnOrAfter ="2002-06-19T17: 10: 37.795Z"/>          AuthenticationMethod ="urn: oasis: names: tc: SAML: 1.0: am: пароль"      AuthenticationInstant ="2002-06-19T17: 05: 17.706Z">      <saml:Subject>                  Формат ="urn: oasis: names: tc: SAML: 1.1: nameid-format: emailAddress">          [email protected] </saml:NameIdentifier>        <saml:SubjectConfirmation>          <saml:ConfirmationMethod>            урна: оазис: имена: tc: SAML: 1.0: cm: bearer </saml:ConfirmationMethod>        </saml:SubjectConfirmation>      </saml:Subject>    </saml:AuthenticationStatement>  </saml:Assertion>

Адреса электронной почты (как в приведенном выше примере) будет достаточно в большом количестве ситуаций. Однако в некоторых случаях требуется дополнительная информация, прежде чем поставщик услуг сможет принять решение о контроле доступа. В качестве примера предположим, что студентам разрешен доступ к данным о стипендиях. An утверждение атрибута может указать, принадлежит ли директор школы к "студенту", которую поставщик услуг использует, чтобы разрешить или запретить доступ (соответственно) к заявке на получение стипендии:

      xmlns: saml ="urn: oasis: names: tc: SAML: 1.0: assertion"    MajorVersion ="1" MinorVersion ="1"    Эмитент ="https://idp.example.org/saml" ...>     NotBefore ="..." NotAfter ="..."/>          AuthenticationMethod ="..."      AuthenticationInstant ="...">      <saml:Subject>...</saml:Subject>    </saml:AuthenticationStatement>    <saml:AttributeStatement>      <saml:Subject>...</saml:Subject>              AttributeName ="urn: mace: dir: attribute-def: eduPersonAffiliation"        AttributeNamespace ="urn: mace: shibboleth: 1.0: attributeNamespace: uri">        <saml:AttributeValue>член</saml:AttributeValue>        <saml:AttributeValue>ученик</saml:AttributeValue>      </saml:Attribute>    </saml:AttributeStatement>  </saml:Assertion>

Атрибуты часто получаются из LDAP каталог, поэтому согласованное представление атрибутов в доменах безопасности имеет решающее значение.

В приведенном выше примере, показывающем, как студент может получить доступ к заявке на получение стипендии, поставщик услуг действует как точка применения политики и точка принятия политического решения. В некоторых ситуациях может быть предпочтительнее связать точку принятия решения о политике с поставщиком удостоверений. В этом случае поставщик услуг передает URI поставщику удостоверений, который утверждает заявление о разрешении который определяет, должен ли принципал иметь доступ к защищенному ресурсу по данному URI.

      xmlns: saml ="urn: oasis: names: tc: SAML: 1.0: assertion"    MajorVersion ="1" MinorVersion ="1"    Эмитент ="https://idp.example.org/saml" ...>     .../>          Решение ="Разрешать"      Ресурс ="https://sp.example.com/confidential_report.html">      <saml:Subject>...</saml:Subject>      <saml:Action>читать</saml:Action>    </saml:AuthorizationDecisionStatement>  </saml:Assertion>

Эти три типа операторов не исключают друг друга. Например, в одно утверждение могут быть включены как операторы аутентификации, так и операторы атрибутов (как показано выше). Это исключает необходимость в последующих циклах обмена между поставщиком услуг и поставщиком удостоверений.

Протоколы SAML 1.1

SAML протокол это простой протокол запроса-ответа. Запрашивающая сторона SAML отправляет SAML Запрос элемент ответчику:

      xmlns: samlp ="urn: oasis: names: tc: SAML: 1.0: протокол"    MajorVersion ="1" MinorVersion ="1"    RequestID ="aaf23196-1773-2113-474a-fe114412ab72"    IssueInstant ="2006-07-17T22: 26: 40Z">    <!-- insert other SAML elements here -->  </samlp:Request>

Точно так же ответчик SAML возвращает SAML Ответ элемент запрашивающему:

      xmlns: samlp ="urn: oasis: names: tc: SAML: 1.0: протокол"    MajorVersion ="1" MinorVersion ="1"    ResponseID ="b07b804c-7c29-ea16-7300-4f3d6f7928ac"    InResponseTo ="aaf23196-1773-2113-474a-fe114412ab72"    IssueInstant ="2006-07-17T22: 26: 41Z">    <!-- insert other SAML elements here, including assertions -->  </samlp:Response>

Привязки и профили, необходимые для этого обмена сообщениями, подробно описаны в следующих разделах.

Привязки SAML 1.1

SAML 1.1 формально определяет только один протокол привязка, привязка SAML SOAP. Совместимая реализация SAML 1.1 должна реализовывать SAML через SOAP через HTTP (синхронная привязка протокола). Разрешены другие транспортные механизмы, кроме HTTP, при условии соблюдения протокольно-независимых аспектов привязки SAML SOAP (см. Раздел 3.1.2 SAMLBind.^[2]).

Привязка SAML 1.1 SOAP построена поверх версии 1.1 МЫЛО (нумерация чисто случайная). Запрашивающая сторона SAML создает оболочку SAML Запрос элемент в теле сообщения SOAP. Точно так же ответчик SAML возвращает SAML Ответ элемент в теле возвращенного сообщения SOAP. В случае ошибки отвечающая сторона вместо этого возвращает код ошибки SOAP.

Любая разметка SAML должна быть включена в тело SOAP. SAML 1.1 не определяет никаких специфичных для SAML заголовков SOAP. Запрашивающая сторона может вставить любые заголовки SOAP по своему желанию (хотя они и не требуются).

Напомним, что в SOAP 1.1 SOAPAction Заголовок HTTP должен быть включен в каждый HTTP-запрос (хотя его значение может быть пустым). Запрашивающая сторона SAML может указать следующее значение SOAPAction заголовок:

 SOAPAction: http://www.oasis-open.org/committees/security

Однако ответчик SAML не должен зависеть от этого значения.

Безопасное соединение не требуется для запросов и ответов SAML, но в тех ситуациях, когда сообщение честность и конфиденциальность требуются HTTP через SSL 3.0 или TLS 1.0 с сертификатом на стороне сервера.

Ответчик SAML может вернуть ответ «403 Forbidden», когда он отказывается отвечать запрашивающей стороне SAML. Ответчик должен вернуть ответ «500 Internal Server Error» в случае ошибки SOAP (также должен быть включен элемент ошибки SOAP). В противном случае возвращается ответ «200 OK», даже при наличии ошибки обработки SAML. Такой ответ будет включать SAML Положение дел элемент в теле SOAP.

Профили SAML 1.1

В целом, профили описывать варианты использования и обмен сообщениями, необходимые для окончательной передачи утверждений от поставщика удостоверений поставщику услуг. SAML 1.1 определяет два профиля единого входа веб-браузера:

1. Браузер / Профиль POST
2. Профиль браузера / артефакта

Профиль браузера / POST использует операцию "push", которая передает утверждение SSO. по стоимости через браузер с помощью HTTP POST. Мы говорим, что поставщик удостоверений «подталкивает» утверждение поставщику услуг.

Профиль браузера / артефакта использует механизм «вытягивания». Профиль по существу передает утверждение SSO от поставщика удостоверений поставщику услуг. по ссылке (через браузер с использованием HTTP Redirect), который впоследствии разыменовывается через обмен по обратному каналу (т. е. поставщик услуг «извлекает» подтверждение от поставщика удостоверений, используя SAML через SOAP через HTTP).

Эти профили поддерживают междоменный единый вход (SSO). Спецификация не определяет никаких дополнительных профилей. В частности, SAML 1.1 не поддерживает профиль для защиты сообщения веб-службы и не поддерживает единый профиль выхода.

Оба профиля SAML 1.1 начинаются с межсайтовый трансфер, которым управляет поставщик удостоверений. Как принципал в первую очередь прибывает в службу трансфера, спецификацией не диктуется. См. Разделы 4.1 и 4.2 SAMLOverview.^[3] для возможных сценариев. На практике клиент, обращающийся к защищенному ресурсу у поставщика услуг, будет перенаправлен на службу межсайтовой передачи у провайдера идентификации, но точная последовательность шагов, необходимых для этого, не описана в SAML 1.1. (См. Раздел 4.3 SAMLOverview.^[3] для некоторых приблизительных идей в этом направлении.) Этот сценарий полностью рассмотрен в SAML 2.0.

После посещения службы межсайтового перевода, принципал переводится в обслуживание потребителей утверждения у поставщика услуг. То, как именно принципал передается из службы межсайтовой передачи в службу потребителей утверждений, зависит от используемого профиля. В случае профиля браузера / артефакта используется перенаправление; в случае профиля браузера / POST клиент отправляет запрос POST (с вмешательством пользователя или без него).

Для ускорения обработки службой потребителей утверждений указываются два отдельных URL-адреса:

1. URL-адрес клиента утверждения (профиль браузера / POST)
2. URL-адрес получателя артефакта (профиль браузера / артефакта)

Эти и другие местоположения конечных точек могут быть записаны в файлах метаданных. Как именно поставщик удостоверений получает файл доверенных метаданных или иным образом определяет расположение доверенных конечных точек конкретного поставщика услуг, выходит за рамки SAML 1.1.

Обратите внимание, что соответствующий поставщик удостоверений SAML 1.1 должен предоставлять услугу межсайтовой передачи. Точно так же провайдер услуг SAML 1.1 должен предоставлять услугу потребителя утверждения.

Браузер / Профиль POST

Профиль SAML 1.1 Browser / POST определяет следующие четыре (4) шага. Терминология, использованная в исходной спецификации, была немного изменена, чтобы соответствовать спецификации SAML 2.0.

Поток сообщений начинается с запроса, направленного IdP.

Запросить услугу межсайтовой передачи в IdP

Принципал (через пользовательский агент HTTP) запрашивает службу межсайтовой передачи у поставщика удостоверений:

 https://idp.example.org/TransferService?TARGET=цель

куда цель является желаемым ресурсом у поставщика услуг, скажем, https://sp.example.com/home. Другими словами, следующий запрос GET выдается пользовательским агентом через SSL / TLS:

ПОЛУЧАТЬ / TransferService? TARGET = цель HTTP/1.1Хозяин: idp.example.org

В профиле не указано, как URL-адрес службы передачи (с ЦЕЛЬ параметр) получается пользовательским агентом.

Ответить с помощью HTML-формы

Служба межсайтовой передачи возвращает HTML-документ, содержащий ФОРМА элемент:

HTTP/1.1 200 OkТип содержимого: текст / htmlContent-Length: nnnn...<форма метод="почтовый" действие="https://sp.example.com/ACS/POST" ...>  <Вход тип="скрытый" имя="ЦЕЛЬ" ценить="цель" />  <Вход тип="скрытый" имя="SAMLResponse" ценить="''отклик''" />  ...  <Вход тип="Разместить" ценить="Представлять на рассмотрение" /></форма>...

где ЦЕЛЬ параметр был сохранен с шага 1. Значение SAMLResponse параметр - кодировка base64 SAML Ответ такой элемент, как следующий:

      xmlns: samlp ="urn: oasis: names: tc: SAML: 1.0: протокол"    MajorVersion ="1" MinorVersion ="1"    ResponseID ="_P1YaA + Q / wSM / t / 8E3R8rNhcpPTM ="    IssueInstant ="2002-06-19T17: 05: 37.795Z">          xmlns: ds ="http://www.w3.org/2000/09/xmldsig#">...</ds:Signature>    <samlp:Status>       Значение ="samlp: Success"/>    </samlp:Status>          xmlns: saml ="urn: oasis: names: tc: SAML: 1.0: assertion"      MajorVersion ="1" MinorVersion ="1"      AssertionID ="buGxcG4gILg5NlocyLccDz6iXrUa"      Эмитент ="https://idp.example.org/saml"      IssueInstant ="2002-06-19T17: 05: 37.795Z">              NotBefore ="2002-06-19T17: 00: 37.795Z"        NotOnOrAfter ="2002-06-19T17: 10: 37.795Z"/>              AuthenticationMethod ="urn: oasis: names: tc: SAML: 1.0: am: пароль"        AuthenticationInstant ="2002-06-19T17: 05: 17.706Z">        <saml:Subject>                      Формат ="urn: oasis: names: tc: SAML: 1.1: nameid-format: emailAddress">            [email protected] </saml:NameIdentifier>          <saml:SubjectConfirmation>            <saml:ConfirmationMethod>              урна: оазис: имена: tc: SAML: 1.0: cm: bearer </saml:ConfirmationMethod>          </saml:SubjectConfirmation>        </saml:Subject>      </saml:AuthenticationStatement>    </saml:Assertion>  </samlp:Response>

Ответ SAML должен быть подписан цифровой подписью провайдера идентификации.

Важно: предполагается, что принципал уже установил контекст безопасности у поставщика удостоверений, в противном случае служба межсайтовой передачи не сможет предоставить оператор аутентификации в SAML. Ответ элемент.

Запросить службу поддержки утверждений в SP

Пользовательский агент запрашивает службу клиента утверждений у поставщика услуг:

ПОЧТОВЫЙ / ACS / POST HTTP/1.1Хозяин: sp.example.comТип содержимого: приложение / x-www-form-urlencodedContent-Length: nnnnTARGET = цель и SAMLResponse = ответ

где значения ЦЕЛЬ и SAMLResponse параметры берутся из HTML-формы на шаге 2.

Примечание. Чтобы автоматизировать отправку формы, в любом месте страницы может появиться следующая строка JavaScript:

  окно.в процессе = функция () { документ.формы[0].Разместить(); }

Это, конечно, предполагает, что страница содержит один ФОРМА элемент (формы [0]).

Ответить на запрос доверителя

Служба потребителей утверждений использует SAML Ответ элемент, создает контекст безопасности у поставщика услуг и перенаправляет пользовательский агент на целевой ресурс.

Профиль браузера / артефакта

Профиль обозревателя / артефакта SAML 1.1 определяет следующие шесть (6) шагов. Терминология, использованная в исходной спецификации, была немного изменена, чтобы соответствовать спецификации SAML 2.0.

Поток сообщений начинается с запроса, направленного IdP.

Запросить услугу межсайтовой передачи в IdP

Принципал (через пользовательский агент HTTP) запрашивает службу межсайтовой передачи у поставщика удостоверений:

 https://idp.example.org/TransferService?TARGET=цель

куда цель является желаемым ресурсом у поставщика услуг, скажем, https://sp.example.com/home. Другими словами, следующий запрос GET выдается пользовательским агентом через SSL / TLS:

ПОЛУЧАТЬ / TransferService? TARGET = цель HTTP/1.1Хозяин: idp.example.org

В профиле не указано, как URL-адрес службы передачи (с ЦЕЛЬ параметр) получается пользовательским агентом.

Перенаправление на службу потребителей утверждений

Принципал перенаправляется в Службу потребителей утверждений у поставщика услуг, то есть пользовательскому агенту возвращается следующий ответ:

HTTP/1.1 302 НайденныйМесто расположения: https://sp.example.com/ACS/Artifact?TARGET=target&SAMLart=artifact

куда артефакт - это ссылка на утверждение, которое провайдер идентификации готов предоставить по запросу.

Важно: предполагается, что принципал уже установил контекст безопасности в провайдере идентификации, в противном случае служба межсайтовой передачи не сможет предоставить подтверждение аутентификации.

Запросить службу поддержки утверждений в SP

Пользовательский агент запрашивает службу клиента утверждений у поставщика услуг:

 https://sp.example.com/ACS/Artifact?TARGET=цель& SAMLart =артефакт

куда цель и артефакт такие же, как и раньше. Другими словами, следующий запрос GET выдается пользовательским агентом через SSL / TLS:

ПОЛУЧАТЬ / ACS / Артефакт? TARGET = цель & SAMLart = артефакт HTTP/1.1Хозяин: sp.example.com

Запросить услугу разрешения артефактов в IdP

Служба потребителя утверждений у поставщика услуг начинает обмен по обратному каналу со службой разрешения артефактов у поставщика удостоверений. Сообщение SAML SOAP связано с запросом HTTP POST:

POST / ArtifactResolutionService HTTP / 1.1Host: idp.example.orgContent-Type: text / xmlContent-Length: nnnSOAPAction: http://www.oasis-open.org/committees/security  xmlns: SOAP-ENV ="http://schemas.xmlsoap.org/soap/envelope/">  <SOAP-ENV:Header/>  <SOAP-ENV:Body>          xmlns: samlp ="urn: oasis: names: tc: SAML: 1.0: протокол"      MajorVersion ="1" MinorVersion ="1"      RequestID ="_192.168.16.51.1024506224022"      IssueInstant ="2002-06-19T17: 03: 44.022Z">      <samlp:AssertionArtifact>        артефакт      </samlp:AssertionArtifact>    </samlp:Request>  </SOAP-ENV:Body></SOAP-ENV:Envelope>

куда артефакт был ранее отправлен от поставщика удостоверений поставщику услуг на шагах 2 и 3.

Ответьте с помощью утверждения SAML

Провайдер идентификации завершает обмен по обратному каналу, отвечая подтверждением SAML, привязанным к сообщению SAML SOAP:

HTTP / 1.1 200 OK Тип содержимого: текст / xml Длина содержимого: nnnn  xmlns: SOAP-ENV ="http://schemas.xmlsoap.org/soap/envelope/">  <SOAP-ENV:Header/>  <SOAP-ENV:Body>          xmlns: samlp ="urn: oasis: names: tc: SAML: 1.0: протокол"      MajorVersion ="1" MinorVersion ="1"      ResponseID ="_P1YaA + Q / wSM / t / 8E3R8rNhcpPTM ="      InResponseTo ="_192.168.16.51.1024506224022"      IssueInstant ="2002-06-19T17: 05: 37.795Z">      <samlp:Status>         Значение ="samlp: Success"/>      </samlp:Status>              xmlns: saml ="urn: oasis: names: tc: SAML: 1.0: assertion"        MajorVersion ="1" MinorVersion ="1"        AssertionID ="buGxcG4gILg5NlocyLccDz6iXrUa"        Эмитент ="https://idp.example.org/saml"        IssueInstant ="2002-06-19T17: 05: 37.795Z">                  NotBefore ="2002-06-19T17: 00: 37.795Z"          NotOnOrAfter ="2002-06-19T17: 10: 37.795Z"/>                  AuthenticationMethod ="urn: oasis: names: tc: SAML: 1.0: am: пароль"          AuthenticationInstant ="2002-06-19T17: 05: 17.706Z">          <saml:Subject>                          Формат ="urn: oasis: names: tc: SAML: 1.1: nameid-format: emailAddress">              [email protected] </saml:NameIdentifier>            <saml:SubjectConfirmation>              <saml:ConfirmationMethod>                урна: оазис: имена: tc: SAML: 1.0: cm: артефакт </saml:ConfirmationMethod>            </saml:SubjectConfirmation>          </saml:Subject>        </saml:AuthenticationStatement>      </saml:Assertion>    </samlp:Response>  </SOAP-ENV:Body></SOAP-ENV:Envelope>

В этом случае заявление об аутентификации включает NameIdentifier содержащий адрес электронной почты принципала.

Ответить на запрос доверителя

Служба потребителей утверждений анализирует SAML Ответ элемент, создает контекст безопасности у поставщика услуг и перенаправляет пользовательский агент на целевой ресурс.

Смотрите также

• SAML
• SAML 2.0
• Продукты и услуги на основе SAML

Рекомендации