Требуется подпись на утверждении SAML

Question

Требуется ли подпись токена SAML?Похоже, элемент подписи не требуется в соответствии со схемой.

Вместо подписи токена SAML нам потребуются клиентские сертификаты (двусторонний SSL), чтобы убедиться, что потребитель является доверенным потребителем.Это жизнеспособный вариант?

Answer 1

Это зависит от того, какой Binding вы используете и каков ваш вариант использования.Если вы говорите о протоколе разрешения артефактов, для привязки SOAP, например, не требуется подписанный ответ SAML.Однако для HTTP Post Binding (веб-профиля единого входа) всегда требуется подпись.

Взаимная проверка подлинности TLS разрешена для привязки SOAP, но это нецелесообразно для веб-профиля единого входа.

Таким образом, это действительно зависит от того, каков ваш вариант использования, поскольку каждый профиль / привязка имеетсвои требования.

Answer 2

HTTP Post Binding (Web SSO Profile) всегда требует подписи. Это настраиваемые параметры в большинстве IdP. например IdP SAP Netweaver.