Identidade Moderna: SAML, OIDC e Abordagens Híbridas

A Linguagem de Marcação de Asserções de Segurança 2.0 (SAML) é um padrão aberto baseado em XML para logon único em ambientes empresariais. Padronizado em 2005, o SAML permite que um provedor de identidade (IdP) emita asserções XML assinadas digitalmente para provedores de serviço (SP), permitindo que os usuários se autentiquem uma vez e acessem vários serviços sem inserir novamente as credenciais.

No SAML, o provedor de identidade (IdP) é a autoridade que autentica os usuários e emite asserções. Exemplos: Okta, Microsoft Entra ID e PingFederate. O provedor de serviço (SP) é a aplicação que confia na asserção do IdP. Exemplos: Salesforce, Workday e ServiceNow. O SP confia na assinatura do IdP para conceder acesso.

As asserções SAML devem ser assinadas digitalmente pelo IdP usando um par de chaves RSA ou EC, permitindo que o SP verifique sua autenticidade. As asserções também podem ser criptografadas para garantir a confidencialidade durante o trânsito. O SP deve validar a assinatura, verificar os carimbos de data e hora NotBefore e NotOnOrAfter da asserção e confirmar a restrição de audiência para impedir ataques de repetição.

O OpenID Connect (OIDC) é uma camada moderna de identidade criada sobre o OAuth 2.0 que atende à mesma finalidade de SSO que o SAML, mas usa JSON e JWTs em vez de XML. Publicado em 2014, o OIDC é mais adequado para aplicativos móveis, aplicativos de página única e APIs REST, enquanto o SAML continua predominante nas aplicações web empresariais tradicionais.

O OIDC amplia o OAuth 2.0 adicionando um token de ID, um JWT que contém declarações de identidade, ao fluxo de autorização do OAuth 2.0. O OAuth 2.0 trata da autorização, ou seja, do acesso delegado a APIs, enquanto o OIDC acrescenta a autenticação, verificando a identidade do usuário. O OIDC exige o escopo openid e retorna um token de ID junto com o token de acesso do OAuth.

O Microsoft Entra ID, anteriormente Azure Active Directory, é um provedor de identidade nativo da nuvem que oferece suporte a SAML e OIDC/OAuth 2.0 para SSO federado. Ele pode ser sincronizado com o Active Directory local por meio do Entra Connect, fornecendo gerenciamento de identidade híbrida no qual os recursos da nuvem e locais compartilham um único diretório de identidades.

O Active Directory Federation Services (AD FS) é o servidor de federação local da Microsoft que publica pontos de acesso SAML e WS-Federation para o Active Directory local. O AD FS faz a ponte entre aplicações SAML legadas e as credenciais do Active Directory e, em implantações híbridas, estabelece uma federação com o Entra ID para ampliar o SSO a aplicações na nuvem.

O System for Cross-domain Identity Management (SCIM) é um padrão de API REST para automatizar o provisionamento e o desprovisionamento de usuários entre sistemas de identidade e aplicações. Quando um novo funcionário é adicionado ao Entra ID ou ao Okta, o SCIM cria automaticamente as contas correspondentes nas aplicações SaaS conectadas e as remove quando o funcionário deixa a empresa.

Os provedores de identidade modernos implementam políticas de acesso condicional que avaliam sinais de risco, como conformidade do dispositivo, localização e comportamento do usuário, antes de conceder acesso. Essas políticas podem exigir autenticação multifatorial adicional para recursos sensíveis. Combinado com o SSO por OIDC ou SAML, o acesso condicional oferece segurança adaptativa sem o atrito de uma nova autenticação.

A arquitetura de confiança zero trata a localização da rede como irrelevante para as decisões de acesso: nenhuma confiança implícita é concedida com base no fato de o usuário estar dentro de uma rede corporativa. Em vez da autenticação de perímetro do Kerberos, a confiança zero usa verificação contínua da identidade, verificações da integridade do dispositivo e políticas de acesso com o menor privilégio, aplicadas a cada solicitação de acesso a recursos por meio de OIDC ou SAML.

Use SAML para aplicações empresariais legadas criadas antes de 2014 que já ofereçam suporte a SAML. Use OIDC para aplicações novas, aplicativos móveis, aplicativos de página única e APIs. Ambos são compatíveis com os principais IdPs, portanto a escolha geralmente depende do suporte existente da aplicação, e não de diferenças de segurança. O OIDC é a opção preferida para todo novo desenvolvimento.

Qual afirmação descreve corretamente uma diferença importante entre SAML e OIDC?

O SAML 2.0 fornece SSO baseado em XML para aplicações empresariais tradicionais. O OIDC acrescenta identidade ao OAuth 2.0 usando tokens JWT e é preferido para aplicações modernas. O Entra ID oferece suporte a ambos como um IdP de nuvem híbrida. O AD FS faz a ponte entre o AD local e aplicações baseadas em SAML. O SCIM automatiza o provisionamento. A confiança zero substitui o Kerberos baseado em perímetro pela verificação contínua da identidade orientada por políticas.