อัตลักษณ์สมัยใหม่: SAML, OIDC และแนวทางแบบไฮบริด

Security Assertion Markup Language 2.0 (SAML) เป็นมาตรฐานเปิดที่ใช้ XML สำหรับการลงชื่อเข้าใช้ครั้งเดียวในสภาพแวดล้อมระดับองค์กร ซึ่งได้รับการทำให้เป็นมาตรฐานในปี 2005 SAML ช่วยให้ผู้ให้บริการข้อมูลประจำตัว (IdP) ออกข้อความยืนยัน XML ที่ลงลายมือชื่อดิจิทัลให้แก่ผู้ให้บริการ (SP) ทำให้ผู้ใช้ยืนยันตัวตนเพียงครั้งเดียวและเข้าถึงบริการหลายรายการได้โดยไม่ต้องกรอกข้อมูลรับรองซ้ำ

ใน SAML ผู้ให้บริการข้อมูลประจำตัว (IdP) คือหน่วยงานที่ยืนยันตัวตนผู้ใช้และออกข้อความยืนยัน ตัวอย่างเช่น Okta, Microsoft Entra ID และ PingFederate ผู้ให้บริการ (SP) คือแอปพลิเคชันที่อาศัยข้อความยืนยันของ IdP ตัวอย่างเช่น Salesforce, Workday และ ServiceNow SP เชื่อถือลายมือชื่อของ IdP เพื่ออนุญาตการเข้าถึง

ผู้ให้บริการข้อมูลประจำตัวต้องลงลายมือชื่อดิจิทัลให้ข้อความยืนยัน SAML โดยใช้คู่คีย์ RSA หรือ EC เพื่อให้ SP ตรวจสอบความถูกต้องได้ นอกจากนี้ยังสามารถเข้ารหัสข้อความยืนยันเพื่อรักษาความลับระหว่างการส่งได้ SP ต้องตรวจสอบลายมือชื่อ ตรวจสอบการประทับเวลา NotBefore และ NotOnOrAfter ของข้อความยืนยัน และตรวจสอบข้อจำกัดผู้รับ เพื่อป้องกันการโจมตีแบบเล่นซ้ำ

OpenID Connect (OIDC) เป็นชั้นข้อมูลประจำตัวสมัยใหม่ที่สร้างอยู่บน OAuth 2.0 และมีวัตถุประสงค์ด้านการลงชื่อเข้าใช้ครั้งเดียวเช่นเดียวกับ SAML แต่ใช้ JSON และโทเค็น JWT แทน XML โดยเผยแพร่ในปี 2014 OIDC เหมาะกับแอปพลิเคชันมือถือ แอปพลิเคชันหน้าเดียว และ API แบบ REST มากกว่า ขณะที่ SAML ยังคงเป็นมาตรฐานหลักในแอปพลิเคชันเว็บระดับองค์กรแบบดั้งเดิม

OIDC ขยาย OAuth 2.0 ด้วยการเพิ่มโทเค็น ID ซึ่งเป็น JWT ที่มีข้อมูลอ้างสิทธิ์เกี่ยวกับตัวตน ลงในกระบวนการอนุญาตของ OAuth 2.0 OAuth 2.0 จัดการเรื่องการอนุญาตสิทธิ์ หรือการมอบสิทธิ์ให้เข้าถึง API ส่วน OIDC เพิ่มการยืนยันตัวตน หรือการตรวจสอบตัวตนของผู้ใช้ OIDC ต้องใช้ขอบเขต openid และส่งคืนโทเค็น ID พร้อมกับโทเค็นการเข้าถึงของ OAuth

Microsoft Entra ID (เดิมคือ Azure Active Directory) เป็นผู้ให้บริการข้อมูลประจำตัวบนคลาวด์โดยกำเนิด ซึ่งรองรับทั้ง SAML และ OIDC/OAuth 2.0 สำหรับ SSO แบบสหพันธรัฐ ระบบสามารถซิงค์กับ Active Directory ภายในองค์กรผ่าน Entra Connect ทำให้จัดการข้อมูลประจำตัวแบบไฮบริดได้ โดยทรัพยากรทั้งบนคลาวด์และภายในองค์กรใช้ไดเรกทอรีข้อมูลประจำตัวเดียวกัน

Active Directory Federation Services (AD FS) คือเซิร์ฟเวอร์สหพันธรัฐภายในองค์กรของ Microsoft ซึ่งเผยแพร่จุดปลายทาง SAML และ WS-Federation สำหรับ Active Directory ภายในองค์กร AD FS เชื่อมแอปพลิเคชันเดิมที่ใช้ SAML เข้ากับข้อมูลรับรองของ Active Directory และในการใช้งานแบบไฮบริดจะเชื่อมสหพันธรัฐกับ Entra ID เพื่อขยาย SSO ไปยังแอปพลิเคชันบนคลาวด์

System for Cross-domain Identity Management (SCIM) เป็นมาตรฐาน API แบบ REST สำหรับทำให้การจัดเตรียมและยกเลิกการจัดเตรียมบัญชีผู้ใช้ระหว่างระบบข้อมูลประจำตัวและแอปพลิเคชันเป็นไปโดยอัตโนมัติ เมื่อเพิ่มพนักงานใหม่ใน Entra ID หรือ Okta SCIM จะสร้างบัญชีที่สอดคล้องกันในแอปพลิเคชัน SaaS ที่เชื่อมต่อโดยอัตโนมัติ และจะลบบัญชีเหล่านั้นเมื่อพนักงานลาออก

ผู้ให้บริการข้อมูลประจำตัวสมัยใหม่ใช้นโยบายการเข้าถึงตามเงื่อนไข ซึ่งประเมินสัญญาณความเสี่ยง เช่น ความสอดคล้องของอุปกรณ์ ตำแหน่งที่ตั้ง และพฤติกรรมของผู้ใช้ ก่อนอนุญาตการเข้าถึง นโยบายเหล่านี้สามารถกำหนดให้ใช้ MFA แบบยกระดับสำหรับทรัพยากรสำคัญ เมื่อทำงานร่วมกับ SSO ผ่าน OIDC หรือ SAML การเข้าถึงตามเงื่อนไขจะมอบความปลอดภัยแบบปรับตามบริบทโดยไม่สร้างความยุ่งยากจากการยืนยันตัวตนซ้ำ

สถาปัตยกรรมความเชื่อถือเป็นศูนย์ถือว่าตำแหน่งที่ตั้งบนเครือข่ายไม่เกี่ยวข้องกับการตัดสินใจอนุญาตการเข้าถึง โดยจะไม่ให้ความเชื่อถือโดยปริยายเพียงเพราะอุปกรณ์อยู่ภายในเครือข่ายองค์กร แทนการยืนยันตัวตนตามขอบเขต Kerberos ความเชื่อถือเป็นศูนย์ใช้การตรวจสอบตัวตนอย่างต่อเนื่อง การตรวจสอบสถานะความปลอดภัยของอุปกรณ์ และนโยบายการเข้าถึงตามสิทธิ์เท่าที่จำเป็น ซึ่งบังคับใช้ทุกครั้งที่มีการร้องขอเข้าถึงทรัพยากรผ่าน OIDC หรือ SAML

ใช้ SAML กับแอปพลิเคชันระดับองค์กรแบบเดิมที่สร้างขึ้นก่อนปี 2014 และรองรับ SAML อยู่แล้ว ใช้ OIDC กับแอปพลิเคชันใหม่ แอปพลิเคชันมือถือ แอปพลิเคชันหน้าเดียว และ API ทั้งสองมาตรฐานได้รับการรองรับจากผู้ให้บริการข้อมูลประจำตัวรายใหญ่ ดังนั้นตัวเลือกมักขึ้นอยู่กับการรองรับที่มีอยู่ของแอปพลิเคชัน มากกว่าความแตกต่างด้านความปลอดภัย OIDC เป็นตัวเลือกที่แนะนำสำหรับการพัฒนาใหม่ทั้งหมด

ข้อใดอธิบายความแตกต่างสำคัญระหว่าง SAML กับ OIDC ได้อย่างถูกต้อง

SAML 2.0 ให้บริการ SSO ที่ใช้ XML สำหรับแอปพลิเคชันระดับองค์กรแบบดั้งเดิม OIDC เพิ่มข้อมูลประจำตัวให้ OAuth 2.0 โดยใช้โทเค็น JWT และเป็นตัวเลือกที่แนะนำสำหรับแอปพลิเคชันสมัยใหม่ Entra ID รองรับทั้งสองมาตรฐานในฐานะผู้ให้บริการข้อมูลประจำตัวบนคลาวด์แบบไฮบริด AD FS เชื่อม AD ภายในองค์กรเข้ากับแอปพลิเคชันที่ใช้ SAML SCIM ทำให้การจัดเตรียมบัญชีเป็นไปโดยอัตโนมัติ ความเชื่อถือเป็นศูนย์เข้ามาแทนที่ Kerberos ที่อาศัยขอบเขตเครือข่ายด้วยการตรวจสอบข้อมูลประจำตัวอย่างต่อเนื่องตามนโยบาย