理解 SAML：企業聯合身份驗證詳解

2000 年代，組織快速採用 Web 應用程式和雲端服務，帶來了新的身份驗證挑戰。員工需要存取數十個 SaaS 應用程式——Salesforce、Workday、ServiceNow 等等。每個應用程式都有自己的登入。使用者需要管理多個密碼。IT 部門在配置方面遇到困難。安全團隊擔心憑證氾濫。 Kerberos 和 Windows 整合式身份驗證在企業網路內運作良好，但在跨組織邊界時失效。遠端員工無法使用 Windows 身份驗證。SaaS 供應商沒有與 Active Directory 整合。行動裝置不支援 SPNEGO。企業需要一個新的 SSO 標準，能夠跨網際網路、跨組織、跨平台工作。 安全性判斷提示標記語言（SAML）應運而生。由 OASIS 開發並於 2002 年發布，SAML 實現了聯合身份驗證——組織可以相互信任對方的身份驗證，而無需共享使用者資料庫或憑證。員工可以向其企業身份提供者（IdP）進行一次身份驗證，然後存取數十個外部服務提供者（SP），無需額外登入。 本文深入探討 SAML 的架構、流程、優勢和局限性。理解 SAML 揭示了為什麼它主導企業 SSO 十多年，以及為什麼現代替代方案正在出現。

SAML 基礎

SAML 透過身份提供者和服務提供者之間的信任關係，將身份驗證與應用程式存取分離。

核心實體

SAML 定義了三個主要實體：

SAML 判斷提示

SAML 判斷提示是包含使用者聲明的數位簽章 XML 文件：

SAML 繫結

SAML 繫結定義了 SAML 訊息的傳輸方式：

SAML 架構

SAML 的架構實現了跨組織邊界的聯合身份驗證：

瀏覽器充當中介。IdP 和 SP 在身份驗證期間從不直接通訊——所有訊息都透過瀏覽器流動。這種設計跨越防火牆和組織邊界。SP 不需要網路存取 IdP。IdP 不需要提前知道所有 SP。 信任關係透過中繼資料交換建立。IdP 發布包含其公開金鑰和端點的中繼資料。SP 匯入此中繼資料，建立信任。SP 發布包含其端點和要求的中繼資料。IdP 匯入此中繼資料，實現聯合身份驗證。

SAML 身份驗證流程

SAML 支援兩種主要身份驗證流程：SP 發起和 IdP 發起。

SP 發起流程

SP 發起流程從應用程式開始：

詳細流程：

IdP 發起流程

IdP 發起流程從入口網站開始：

流程比較

SAML 實務

SAML 透過廣泛採用成為主導的企業 SSO 標準。

企業採用

組織部署 SAML 為員工提供對 SaaS 應用程式的無縫存取：

真實案例

考慮一家擁有 5,000 名員工使用 50 個 SaaS 應用程式的公司：

供應商支援

SAML 的成功來自廣泛的供應商支援：

SAML 優勢

SAML 成功是因為它解決了實際問題：

SAML 局限性

儘管廣泛採用，SAML 仍有顯著局限性：

技術複雜性

SAML 基於 XML 的設計帶來複雜性：

行動和 API 局限性

SAML 是為基於瀏覽器的流程設計的：

使用者體驗問題

SAML 的重新導向密集流程帶來使用者體驗問題：

SAML 與現代替代方案

SAML 主導企業 SSO 十多年，但現代替代方案出現了：

SAML 與 OpenID Connect

OpenID Connect（OIDC）解決了許多 SAML 局限性：

何時選擇 SAML

SAML 在特定場景中仍然是正確的選擇：

安全性最佳實務

安全地實作 SAML 需要注意細節：

判斷提示驗證

正確的判斷提示驗證至關重要：

憑證管理

SAML 依賴憑證進行簽章：

工作階段安全性

SAML 工作階段需要仔細管理：

結論

SAML 實現了跨組織邊界的企業 SSO，解決了基於瀏覽器的應用程式的密碼氾濫問題。該協定透過數位簽章判斷提示將身份驗證（IdP）和應用程式存取（SP）分離，提供了強大的安全性並實現了大規模聯合身份驗證。 SAML 成功是因為它解決了實際問題。組織需要為數十個 SaaS 應用程式提供集中身份驗證。員工需要無縫存取，無需密碼疲勞。IT 需要簡化配置和存取管理。SAML 提供了這些好處，成為主導的企業 SSO 標準。 然而，SAML 基於 XML 的設計、以瀏覽器為中心的流程和設定複雜性揭示了其年代。行動應用程式在重新導向流程方面遇到困難。API 無法有效使用 SAML 判斷提示。開發人員發現整合困難。OpenID Connect 等現代替代方案透過 JSON、RESTful API 和更好的行動支援解決了這些局限性。 SAML 不會消失——太多企業應用程式依賴它。但新開發應考慮 OIDC，以獲得更好的開發者體驗、行動支援和 API 授權。許多組織同時執行兩種協定，SAML 用於舊版整合，OIDC 用於新開發。 實作 SAML 時，專注於安全性基礎：正確驗證判斷提示、仔細管理憑證、實作安全工作階段處理。這些實務可防止常見漏洞並確保可靠的聯合身份驗證。 SAML 和現代替代方案之間的選擇取決於你的環境。舊版應用程式整合需要 SAML。新開發受益於 OIDC。行動應用程式需要 OIDC。基於瀏覽器的企業應用程式與兩者都配合良好。根據你的要求選擇，而不是協定偏好。 SAML 代表了身份驗證的關鍵演變——從基於網路的協定到網際網路規模的聯合身份驗證。理解 SAML 的優勢和局限性有助於你就身份驗證架構做出明智決策。無論你選擇 SAML 還是現代替代方案，目標都是相同的：實現業務目標的安全、可用的身份驗證。