Moderni identiteetinhallinta: SAML, OIDC ja hybridilähestymistavat

Security Assertion Markup Language 2.0 (SAML) on XML-pohjainen avoin standardi yritysympäristöjen kertakirjautumiseen (Single Sign-On). Vuonna 2005 standardoitu SAML mahdollistaa sen, että identiteetintarjoaja (IdP) myöntää palveluntarjoajille (SP) digitaalisesti allekirjoitettuja XML-assertioita. Näin käyttäjät voivat todentautua kerran ja käyttää useita palveluita syöttämättä tunnistetietoja uudelleen.

SAMLissa identiteetintarjoaja (IdP) todentaa käyttäjät ja myöntää assertiot. Esimerkkejä ovat Okta, Microsoft Entra ID ja PingFederate. Palveluntarjoaja (SP) on sovellus, joka luottaa IdP:n assertioon. Esimerkkejä ovat Salesforce, Workday ja ServiceNow. SP luottaa IdP:n allekirjoitukseen myöntäessään käyttöoikeuden.

IdP:n on allekirjoitettava SAML-assertiot digitaalisesti RSA- tai EC-avainparilla, jotta SP voi varmistaa niiden aitouden. Assertiot voidaan myös salata siirron aikaisen luottamuksellisuuden takaamiseksi. SP:n on validoitava allekirjoitus, tarkistettava assertion NotBefore- ja NotOnOrAfter-aikaleimat sekä varmistettava audience restriction -rajoitus uudelleentoistohyökkäysten estämiseksi.

OpenID Connect (OIDC) on OAuth 2.0:n päälle rakennettu nykyaikainen identiteettikerros, joka palvelee samaa kertakirjautumisen tarkoitusta kuin SAML mutta käyttää XML:n sijaan JSONia ja JWT-tunnuksia. Vuonna 2014 julkaistu OIDC soveltuu paremmin mobiilisovelluksiin, yksisivuisille sovelluksille ja REST-rajapinnoille, kun taas SAML on edelleen hallitseva perinteisissä yritysten web-sovelluksissa.

OIDC laajentaa OAuth 2.0:aa lisäämällä OAuth 2.0:n valtuutusvirtaan ID-tokenin eli identiteettiväitteitä sisältävän JWT:n. OAuth 2.0 käsittelee valtuutusta eli delegoitua pääsyä API-rajapintoihin, kun taas OIDC lisää todennuksen eli käyttäjän identiteetin varmistamisen. OIDC edellyttää openid-scopea ja palauttaa ID-tokenin OAuth-käyttöoikeustunnuksen rinnalla.

Microsoft Entra ID (entinen Azure Active Directory) on pilvinatiivi identiteetintarjoaja, joka tukee sekä SAMLia että OIDC:tä ja OAuth 2.0:aa federoidussa kertakirjautumisessa. Se voi synkronoida paikallisen Active Directoryn kanssa Entra Connectin avulla ja tarjota hybridin identiteetinhallinnan, jossa pilvi- ja paikalliset resurssit käyttävät samaa identiteettihakemistoa.

Active Directory Federation Services (AD FS) on Microsoftin paikallinen federaatiopalvelin, joka julkaisee SAML- ja WS-Federation-päätepisteet paikalliselle Active Directorylle. AD FS yhdistää vanhat SAML-pohjaiset sovellukset Active Directory -tunnistetietoihin, ja hybridiasennuksissa se federoi paikallisen ympäristön Entra ID:n kanssa laajentaen kertakirjautumisen pilvisovelluksiin.

System for Cross-domain Identity Management (SCIM) on REST API -standardi, jolla automatisoidaan käyttäjien provisiointi ja käytöstä poistaminen identiteettijärjestelmien ja sovellusten välillä. Kun uusi työntekijä lisätään Entra ID:hen tai Oktaan, SCIM luo automaattisesti vastaavat tilit yhdistettyihin SaaS-sovelluksiin ja poistaa ne työntekijän lähtiessä.

Nykyaikaiset identiteetintarjoajat toteuttavat ehdollisen käyttöoikeuden käytäntöjä, jotka arvioivat riskisignaaleja, kuten laitteen vaatimustenmukaisuutta, sijaintia ja käyttäjän toimintaa, ennen käyttöoikeuden myöntämistä. Näissä käytännöissä voidaan edellyttää arkaluonteisten resurssien käytössä tehostettua monivaiheista tunnistautumista. Yhdessä OIDC- tai SAML-kertakirjautumisen kanssa ehdollinen käyttöoikeus tarjoaa mukautuvaa tietoturvaa ilman jatkuvan uudelleentodennuksen aiheuttamaa kitkaa.

Zero Trust -arkkitehtuurissa verkon sijainnilla ei ole merkitystä käyttöoikeuspäätöksiin: pelkkä yritysverkon sisällä oleminen ei anna implisiittistä luottamusta. Kerberosin kehäperustaisen todennuksen sijaan Zero Trust käyttää jatkuvaa identiteetin varmistamista, laitteen kuntotarkistuksia ja vähimpien oikeuksien käyttöoikeuskäytäntöjä, joita valvotaan jokaisella resurssin käyttöpyynnöllä OIDC:n tai SAMLin avulla.

SAMLia kannattaa käyttää vanhoissa yrityssovelluksissa, jotka on rakennettu ennen vuotta 2014 ja jotka tukevat jo SAMLia. OIDC sopii uusille sovelluksille, mobiilisovelluksille, SPA-sovelluksille ja API-rajapinnoille. Suuret IdP:t tukevat molempia, joten valinta riippuu usein sovelluksen nykyisestä tuesta eikä tietoturvaeroista. OIDC on suositeltu valinta kaikkeen uuteen kehitykseen.

SAML 2.0 tarjoaa XML-pohjaisen kertakirjautumisen perinteisille yrityssovelluksille. OIDC lisää identiteetin OAuth 2.0:aan JWT-tunnusten avulla, ja sitä suositellaan nykyaikaisille sovelluksille. Entra ID tukee molempia hybridinä pilvipalvelun IdP:nä. AD FS yhdistää paikallisen AD:n SAML-pohjaisiin sovelluksiin. SCIM automatisoi provisioinnin. Zero Trust korvaa kehäperustaisen Kerberosin jatkuvalla, käytäntöohjatulla identiteetin varmistamisella.