Современная идентификация: SAML, OIDC и гибридные подходы

Язык разметки утверждений безопасности 2.0 (SAML) — это открытый стандарт на основе XML для единого входа (SSO) в корпоративных средах. Стандартизированный в 2005 году, SAML позволяет поставщику удостоверений (IdP) выдавать поставщикам услуг (SP) цифровые утверждения XML, благодаря чему пользователи проходят аутентификацию один раз и получают доступ к нескольким службам без повторного ввода учётных данных.

В SAML поставщик удостоверений (IdP) — это полномочная сторона, которая аутентифицирует пользователей и выдаёт утверждения. Примеры: Okta, Microsoft Entra ID, PingFederate. Поставщик услуг (SP) — это приложение, которое полагается на утверждение IdP. Примеры: Salesforce, Workday, ServiceNow. SP доверяет подписи IdP и на её основании предоставляет доступ.

Утверждения SAML должны быть подписаны в цифровом виде IdP с использованием пары ключей RSA или EC, что позволяет SP проверить их подлинность. Для обеспечения конфиденциальности при передаче утверждения также можно зашифровать. SP должен проверить подпись, убедиться, что временные метки утверждения находятся между NotBefore и NotOnOrAfter, а также проверить ограничение аудитории, чтобы предотвратить атаки повторного воспроизведения.

OpenID Connect (OIDC) — это современный уровень удостоверений, построенный на OAuth 2.0. Он выполняет ту же задачу единого входа, что и SAML, но использует JSON и JWT вместо XML. Опубликованный в 2014 году, OIDC лучше подходит для мобильных приложений, одностраничных приложений и REST API, тогда как SAML по-прежнему преобладает в традиционных корпоративных веб-приложениях.

OIDC расширяет OAuth 2.0, добавляя идентификационный токен — JWT, содержащий утверждения об идентичности, — в процесс авторизации OAuth 2.0. OAuth 2.0 отвечает за авторизацию (делегированный доступ к API), а OIDC добавляет аутентификацию (проверку личности пользователя). Для OIDC требуется область действия openid, а вместе с токеном доступа OAuth возвращается идентификационный токен.

Microsoft Entra ID (ранее Azure Active Directory) — это облачный поставщик удостоверений, поддерживающий SAML и OIDC/OAuth 2.0 для федеративного единого входа. Он может синхронизироваться с локальной Active Directory через Entra Connect, обеспечивая гибридное управление удостоверениями, при котором облачные и локальные ресурсы используют единый каталог удостоверений.

Active Directory Federation Services (AD FS) — это локальный федеративный сервер Microsoft, который публикует конечные точки SAML и WS-Federation для локальной Active Directory. AD FS связывает устаревшие приложения на основе SAML с учётными данными Active Directory, а в гибридных развёртываниях устанавливает федерацию с Entra ID, расширяя единый вход на облачные приложения.

System for Cross-domain Identity Management (SCIM) — это стандарт REST API для автоматизации создания и удаления учётных записей пользователей в системах удостоверений и приложениях. Когда новый сотрудник добавляется в Entra ID или Okta, SCIM автоматически создаёт соответствующие учётные записи в подключённых SaaS-приложениях и удаляет их после ухода сотрудника.

Современные поставщики удостоверений реализуют политики условного доступа, которые перед предоставлением доступа оценивают сигналы риска: соответствие устройства требованиям, местоположение и поведение пользователя. Эти политики могут требовать усиленной многофакторной аутентификации для конфиденциальных ресурсов. В сочетании с единым входом через OIDC или SAML условный доступ обеспечивает адаптивную защиту без неудобств, связанных с повторной аутентификацией.

Архитектура нулевого доверия считает местоположение в сети несущественным для решений о предоставлении доступа: нахождение внутри корпоративной сети не создаёт неявного доверия. Вместо периферийной аутентификации Kerberos архитектура нулевого доверия использует постоянную проверку удостоверений, проверку состояния устройств и политики доступа с минимальными привилегиями, применяемые при каждом запросе к ресурсу через OIDC или SAML.

Используйте SAML для устаревших корпоративных приложений, созданных до 2014 года и уже поддерживающих SAML. Используйте OIDC для новых приложений, мобильных приложений, одностраничных приложений и API. Оба протокола поддерживаются основными IdPs, поэтому выбор часто определяется существующей поддержкой приложения, а не различиями в безопасности. Для всей новой разработки предпочтителен OIDC.

Какое утверждение правильно описывает ключевое различие между SAML и OIDC?

SAML 2.0 предоставляет единый вход на основе XML для традиционных корпоративных приложений. OIDC добавляет удостоверения к OAuth 2.0 с помощью токенов JWT и предпочтителен для современных приложений. Entra ID поддерживает оба протокола как гибридный облачный IdP. AD FS связывает локальную AD с приложениями на основе SAML. SCIM автоматизирует создание учётных записей. Нулевое доверие заменяет периферийный Kerberos непрерывной проверкой удостоверений на основе политик.