Moderne identitet: SAML, OIDC og hybride tilnærminger

Security Assertion Markup Language 2.0 (SAML) er en XML-basert, åpen standard for Single Sign-On i virksomhetsmiljøer. SAML ble standardisert i 2005 og gjør det mulig for en Identity Provider (IdP) å utstede digitalt signerte XML-assertioner til Service Providers (SP-er), slik at brukere kan autentisere seg én gang og få tilgang til flere tjenester uten å skrive inn påloggingsinformasjon på nytt.

I SAML er Identity Provider (IdP) instansen som autentiserer brukere og utsteder assertioner. Eksempler: Okta, Microsoft Entra ID, PingFederate. Service Provider (SP) er applikasjonen som baserer seg på assertionen fra IdP-en. Eksempler: Salesforce, Workday, ServiceNow. SP-en stoler på IdP-ens signatur for å gi tilgang.

SAML-assertioner må signeres digitalt av IdP-en ved hjelp av et RSA- eller EC-nøkkelpar, slik at SP-en kan verifisere autentisiteten. Assertioner kan også krypteres for konfidensialitet under overføring. SP-en må validere signaturen, kontrollere tidsstemplene NotBefore og NotOnOrAfter for assertionen og bekrefte audience-begrensningen for å hindre replay-angrep.

OpenID Connect (OIDC) er et moderne identitetslag bygget på OAuth 2.0, som har samme SSO-formål som SAML, men bruker JSON og JWT-er i stedet for XML. OIDC ble publisert i 2014 og passer bedre for mobilapper, single-page-applikasjoner og REST-API-er, mens SAML fortsatt dominerer i tradisjonelle bedriftsbaserte webapplikasjoner.

OIDC utvider OAuth 2.0 ved å legge til et ID-token (en JWT som inneholder identitetsclaims) i OAuth 2.0-autorisasjonsflyten. OAuth 2.0 håndterer autorisasjon (delegert tilgang til API-er), mens OIDC legger til autentisering (bekreftelse av brukerens identitet). OIDC krever openid-scope og returnerer et ID-token sammen med OAuth-tilgangstokenet.

Microsoft Entra ID (tidligere Azure Active Directory) er en skybasert identitetsleverandør som støtter både SAML og OIDC/OAuth 2.0 for føderert SSO. Den kan synkroniseres med lokalt Active Directory via Entra Connect og tilbyr hybrid identitetsstyring der skybaserte og lokale ressurser deler én felles identitetskatalog.

Active Directory Federation Services (AD FS) er Microsofts lokale føderasjonsserver som publiserer SAML- og WS-Federation-endepunkter for lokalt Active Directory. AD FS bygger bro mellom eldre SAML-baserte applikasjoner og Active Directory-påloggingsinformasjon, og i hybride distribusjoner inngår den føderasjon med Entra ID for å utvide SSO til skyapplikasjoner.

System for Cross-domain Identity Management (SCIM) er en REST API-standard for automatisering av brukerprovisionering og -avprovisionering på tvers av identitetssystemer og applikasjoner. Når en ny ansatt legges til i Entra ID eller Okta, oppretter SCIM automatisk tilsvarende kontoer i tilkoblede SaaS-applikasjoner og fjerner dem når den ansatte slutter.

Moderne identitetsleverandører implementerer policyer for betinget tilgang som vurderer risikosignaler (om enheten oppfyller kravene, plassering og brukerens atferd) før tilgang gis. Disse policyene kan kreve trinnvis multifaktorautentisering for sensitive ressurser. Kombinert med OIDC- eller SAML-SSO gir betinget tilgang adaptiv sikkerhet uten unødvendig friksjon fra ny autentisering.

Zero Trust-arkitektur behandler nettverksplassering som irrelevant for tilgangsavgjørelser: Det gis ingen implisitt tillit basert på at man befinner seg i et bedriftsnettverk. I stedet for perimeterbasert Kerberos-autentisering bruker Zero Trust kontinuerlig identitetsverifisering, kontroller av enhetens tilstand og tilgangspolicyer med minste privilegium, håndhevet ved hver forespørsel om tilgang til en ressurs via OIDC eller SAML.

Bruk SAML for eldre bedriftsapplikasjoner som ble utviklet før 2014 og allerede støtter SAML. Bruk OIDC for nye applikasjoner, mobilapper, SPA-er og API-er. Begge støttes av de største IdP-ene, så valget avhenger ofte av applikasjonens eksisterende støtte, ikke av sikkerhetsforskjeller. OIDC er det foretrukne valget for all nyutvikling.

SAML 2.0 tilbyr XML-basert SSO for tradisjonelle bedriftsapper. OIDC tilfører identitet til OAuth 2.0 ved hjelp av JWT-tokener og foretrekkes for moderne apper. Entra ID støtter begge som en hybrid sky-IdP. AD FS bygger bro mellom lokalt AD og SAML-baserte apper. SCIM automatiserer provisionering. Zero Trust erstatter perimeterbasert Kerberos med kontinuerlig, policy-styrt identitetsverifisering.