Разве мы не можем использовать SAML для защиты микросервисов?

Question

В настоящее время Oauth2 становится де-факто для модуля безопасности для экосистемы микросервисов.

Почему мы не можем заменить Oauth на SAML (или любые другие SSO в этом отношении) и JWT на SAML Assertions (или эквивалентные данные SSO)?

Это простота Oauth2, которая заставляет нас выбирать его, или есть какие-то другие причины не использовать SSO вместо Oauth для микросервисной аутентификации и авторизации.

Answer 1

Основная причина в том, что SAML и WS-Fed обычно используют перенаправления браузера для работы.

OAuth - это просто ОТДЫХ.

Тем не менее, если IDP это позволяет, вы можете аутентифицироваться с SAML, получить токен SAML, запросить эквивалентный токен JWT и затем использовать его для API.