Modern Kimlik: SAML, OIDC ve Hibrit Yaklaşımlar

Security Assertion Markup Language 2.0 (SAML), kurumsal ortamlarda Tek Oturum Açma için XML tabanlı açık bir standarttır. SAML, 2005 yılında standartlaştırılmıştır ve bir Kimlik Sağlayıcısının (IdP) dijital olarak imzalanmış XML bildirimlerini Hizmet Sağlayıcılarına (SP'ler) göndermesine olanak tanır. Böylece kullanıcılar bir kez kimlik doğrulaması yaparak kimlik bilgilerini yeniden girmeden birden fazla hizmete erişebilir.

SAML'de Kimlik Sağlayıcısı (IdP), kullanıcıların kimliğini doğrulayan ve bildirimler gönderen yetkili taraftır. Örnekler: Okta, Microsoft Entra ID, PingFederate. Hizmet Sağlayıcısı (SP), IdP'nin bildirimine güvenen uygulamadır. Örnekler: Salesforce, Workday, ServiceNow. SP, erişim izni vermek için IdP'nin imzasına güvenir.

SAML bildirimleri, gerçekliğinin SP tarafından doğrulanabilmesi için IdP tarafından RSA veya EC anahtar çifti kullanılarak dijital olarak imzalanmalıdır. Bildirimler, aktarım sırasında gizlilik sağlamak için şifrelenebilir. SP, imzayı doğrulamalı, bildirimin NotBefore ve NotOnOrAfter zaman damgalarını denetlemeli ve yeniden oynatma saldırılarını önlemek için hedef kitle kısıtlamasını doğrulamalıdır.

OpenID Connect (OIDC), OAuth 2.0 üzerine kurulmuş modern bir kimlik katmanıdır. SAML ile aynı Tek Oturum Açma amacına hizmet eder, ancak XML yerine JSON ve JWT'ler kullanır. OIDC, 2014 yılında yayımlanmıştır ve mobil uygulamalar, tek sayfalı uygulamalar ve REST API'leri için daha uygundur; SAML ise geleneksel kurumsal web uygulamalarında hâlâ baskındır.

OIDC, OAuth 2.0 yetkilendirme akışına bir ID belirteci (kimlik taleplerini içeren bir JWT) ekleyerek OAuth 2.0'ı genişletir. OAuth 2.0 yetkilendirmeyi (API'lere devredilmiş erişimi) yönetirken OIDC kimlik doğrulamayı (kullanıcı kimliğini doğrulamayı) ekler. OIDC, openid kapsamını gerektirir ve OAuth erişim belirteciyle birlikte bir ID belirteci döndürür.

Microsoft Entra ID (eski adıyla Azure Active Directory), birleşik SSO için hem SAML'yi hem de OIDC/OAuth 2.0'ı destekleyen bulut yerel bir kimlik sağlayıcısıdır. Entra Connect aracılığıyla şirket içi Active Directory ile eşitlenebilir ve bulut ile şirket içi kaynakların tek bir kimlik dizinini paylaştığı hibrit kimlik yönetimi sağlar.

Active Directory Federation Services (AD FS), şirket içi Active Directory için SAML ve WS-Federation uç noktaları yayımlayan Microsoft'un şirket içi federasyon sunucusudur. AD FS, eski SAML tabanlı uygulamalarla Active Directory kimlik bilgileri arasında köprü kurar ve hibrit dağıtımlarda bulut uygulamalarına SSO erişimini genişletmek için Entra ID ile federasyon oluşturur.

System for Cross-domain Identity Management (SCIM), kimlik sistemleri ve uygulamalar arasında kullanıcı hesaplarının oluşturulmasını ve kaldırılmasını otomatikleştiren bir REST API standardıdır. Entra ID veya Okta'ya yeni bir çalışan eklendiğinde SCIM, bağlı yazılım hizmetlerinde karşılık gelen hesapları otomatik olarak oluşturur ve çalışan ayrıldığında bu hesapları kaldırır.

Modern kimlik sağlayıcıları, erişim izni vermeden önce risk sinyallerini (cihaz uyumluluğu, konum ve kullanıcı davranışı) değerlendiren koşullu erişim ilkeleri uygular. Bu ilkeler, hassas kaynaklar için ek çok faktörlü kimlik doğrulaması gerektirebilir. Koşullu erişim, OIDC veya SAML SSO ile birleştirildiğinde yeniden kimlik doğrulama gerektirmeden uyarlanabilir güvenlik sağlar.

Sıfır Güven mimarisi, ağ konumunu erişim kararları açısından önemsiz kabul eder: kurumsal ağın içinde bulunmaya dayalı örtük güven verilmez. Sıfır Güven, Kerberos'un ağ çevresine dayalı kimlik doğrulaması yerine OIDC veya SAML aracılığıyla her kaynak erişim isteğinde uygulanan sürekli kimlik doğrulama, cihaz durumu denetimleri ve en az ayrıcalık erişim ilkeleri kullanır.

2014'ten önce geliştirilmiş ve SAML'yi zaten destekleyen eski kurumsal uygulamalar için SAML'yi kullanın. Yeni uygulamalar, mobil uygulamalar, tek sayfalı uygulamalar ve API'ler için OIDC'yi kullanın. Her ikisi de başlıca IdP'ler tarafından desteklendiğinden seçim çoğu zaman güvenlik farklılıklarından çok uygulamanın mevcut desteğine bağlıdır. Tüm yeni geliştirmeler için OIDC tercih edilmelidir.

Aşağıdaki ifadelerden hangisi SAML ile OIDC arasındaki temel bir farkı doğru şekilde açıklar?

SAML 2.0, geleneksel kurumsal uygulamalar için XML tabanlı SSO sağlar. OIDC, JWT belirteçlerini kullanarak OAuth 2.0'a kimlik bilgisi ekler ve modern uygulamalar için tercih edilir. Entra ID, hibrit bulut IdP'si olarak her ikisini de destekler. AD FS, şirket içi AD ile SAML tabanlı uygulamalar arasında köprü kurar. SCIM, kullanıcı sağlamayı otomatikleştirir. Sıfır Güven, çevre sınırına dayalı Kerberos'un yerini sürekli ve ilkelerle yönlendirilen kimlik doğrulamaya bırakır.