Moderne identiteit: SAML, OIDC en hybride benaderingen

Security Assertion Markup Language 2.0 (SAML) is een op XML gebaseerde open standaard voor eenmalige aanmelding in bedrijfsomgevingen. SAML werd in 2005 gestandaardiseerd en stelt een identiteitsprovider (IdP) in staat digitaal ondertekende XML-asserties uit te geven aan serviceproviders (SP's). Daardoor kunnen gebruikers zich één keer authenticeren en toegang krijgen tot meerdere diensten zonder hun inloggegevens opnieuw in te voeren.

In SAML is de identiteitsprovider (IdP) de autoriteit die gebruikers authenticeert en asserties uitgeeft. Voorbeelden zijn Okta, Microsoft Entra ID en PingFederate. De serviceprovider (SP) is de toepassing die vertrouwt op de assertie van de IdP. Voorbeelden zijn Salesforce, Workday en ServiceNow. De SP vertrouwt op de handtekening van de IdP om toegang te verlenen.

SAML-asserties moeten door de IdP digitaal worden ondertekend met een RSA- of EC-sleutelpaar, zodat de SP de authenticiteit kan controleren. Asserties kunnen ook worden versleuteld voor vertrouwelijkheid tijdens transport. De SP moet de handtekening valideren, de tijdstempels NotBefore en NotOnOrAfter controleren en de doelgroepbeperking verifiëren om replayaanvallen te voorkomen.

OpenID Connect (OIDC) is een moderne identiteitslaag die op OAuth 2.0 is gebouwd. OIDC dient hetzelfde doel voor eenmalige aanmelding als SAML, maar gebruikt JSON en JWT's in plaats van XML. OIDC werd in 2014 gepubliceerd en is beter geschikt voor mobiele apps, toepassingen met één pagina en REST-API's, terwijl SAML dominant blijft in traditionele bedrijfswebtoepassingen.

OIDC breidt OAuth 2.0 uit door een ID-token, een JWT met identiteitsclaims, toe te voegen aan de autorisatiestroom van OAuth 2.0. OAuth 2.0 verzorgt autorisatie, oftewel gedelegeerde toegang tot API's, terwijl OIDC authenticatie toevoegt door de identiteit van de gebruiker te verifiëren. OIDC vereist het bereik openid en retourneert naast het OAuth-toegangstoken ook een ID-token.

Microsoft Entra ID (voorheen Azure Active Directory) is een cloudgerichte identiteitsprovider die zowel SAML als OIDC/OAuth 2.0 ondersteunt voor federatieve eenmalige aanmelding. De dienst kan via Entra Connect synchroniseren met on-premises Active Directory, waardoor hybride identiteitsbeheer mogelijk wordt waarbij cloudresources en on-premises resources één identiteitsdirectory delen.

Active Directory Federation Services (AD FS) is de on-premises federatieserver van Microsoft die eindpunten voor SAML en WS-Federation beschikbaar maakt voor on-premises Active Directory. AD FS verbindt oudere, op SAML gebaseerde toepassingen met inloggegevens van Active Directory. In hybride implementaties vormt AD FS een federatie met Entra ID om eenmalige aanmelding uit te breiden naar cloudtoepassingen.

System for Cross-domain Identity Management (SCIM) is een standaard voor een REST-API waarmee het inrichten en intrekken van gebruikers in identiteitsSystemen en toepassingen kan worden geautomatiseerd. Wanneer een nieuwe medewerker aan Entra ID of Okta wordt toegevoegd, maakt SCIM automatisch overeenkomstige accounts aan in gekoppelde SaaS-toepassingen en verwijdert deze wanneer de medewerker vertrekt.

Moderne identiteitsproviders implementeren beleid voor voorwaardelijke toegang dat risicosignalen, zoals apparaatcompliance, locatie en gebruikersgedrag, beoordeelt voordat toegang wordt verleend. Dit beleid kan versterkte meervoudige authenticatie vereisen voor gevoelige resources. In combinatie met eenmalige aanmelding via OIDC of SAML biedt voorwaardelijke toegang adaptieve beveiliging zonder extra hinder door herauthenticatie.

Een Zero Trust-architectuur behandelt de netwerklocatie als irrelevant voor toegangsbeslissingen: er wordt geen impliciet vertrouwen verleend omdat iemand zich binnen een bedrijfsnetwerk bevindt. In plaats van perimeterauthenticatie met Kerberos gebruikt Zero Trust voortdurende identiteitsverificatie, controles van de apparaatstatus en beleid voor minimale rechten. Die worden bij elk verzoek om toegang tot een resource via OIDC of SAML afgedwongen.

Gebruik SAML voor oudere bedrijfstoepassingen die vóór 2014 zijn gebouwd en SAML al ondersteunen. Gebruik OIDC voor nieuwe toepassingen, mobiele apps, SPA's en API's. Beide worden door belangrijke IdP's ondersteund, dus de keuze hangt vaak af van de bestaande ondersteuning van de toepassing en niet van beveiligingsverschillen. OIDC heeft de voorkeur voor alle nieuwe ontwikkelingen.

SAML 2.0 biedt XML-gebaseerde eenmalige aanmelding voor traditionele bedrijfstoepassingen. OIDC voegt identiteit toe aan OAuth 2.0 met JWT-tokens en heeft de voorkeur voor moderne toepassingen. Entra ID ondersteunt beide als hybride cloud-IdP. AD FS verbindt on-premises AD met op SAML gebaseerde toepassingen. SCIM automatiseert het inrichten van gebruikers. Zero Trust vervangt perimetergebaseerde Kerberos door voortdurende identiteitsverificatie op basis van beleid.