Syväsukellus SAML-todennukseen
SAMLin ymmärtäminen Salesforcen kertakirjautumisessa
Todennuksessa SAML (Security Assertion Markup Language) on avainasemassa saumattoman pääsyn varmistamisessa sovellusten välillä. Sukelletaan SAMLiin, ymmärretään sen merkitys kertakirjautumisessa (SSO) ja tutustutaan sen toteutukseen Salesforcessa.
Asetelma
Kuvittele, että sinulla on kaksi Salesforce-orgia: identiteetintarjoaja (IDP) ja palveluntarjoaja. Palveluntarjoajalla on tiedot, joita haluat käyttää, mutta useiden tunnistetietojen sijaan haluat pärjätä yhdellä kirjautumistietojen sarjalla. Ajatus kuulostaa yksinkertaiselta, mutta kulissien takainen mekaniikka voi olla monimutkainen.
SAML-maailman keskeiset käsitteet
Käyttäjän pääsy: Kun käyttäjä yrittää päästä palveluntarjoajan suojattuun resurssiin ennen todentautumista.
Uudelleenohjaus: Jos käyttäjää ei ole todennettu, palveluntarjoaja ohjaa hänet identiteetintarjoajalle SAML-pyynnön avulla. Tarvittaessa mukana voidaan lähettää relay state (URL-osoite, jossa käyttäjä alun perin halusi käydä).
Todennus IDP:ssä: Identiteetintarjoaja varmistaa käyttäjän henkilöllisyyden, yleensä käyttäjätunnuksella, salasanalla tai monivaiheisella todennuksella.
SAML-väite: Todennuksen jälkeen IDP lähettää palveluntarjoajalle SAML-väitteen.
Palveluntarjoajan luottamus: Palveluntarjoaja vahvistaa SAML-väitteen, poimii käyttäjätiedot ja myöntää pääsyn. Jos relay state annettiin aiemmin, palveluntarjoaja siirtyy juuri siihen URL-osoitteeseen.
Kertakirjautumisen edut
Yksinkertaisempi pääsy: Käyttäjät tarvitsevat vain yhdet tunnistetiedot päästäkseen useisiin palveluihin.
Tietoturva: SAML käyttää digitaalisia allekirjoituksia tietojen eheyden varmistamiseen ja peukaloinnin estämiseen.
Yhteentoimivuus: Koska SAML on standardiprotokolla, se toimii erilaisten IDP:iden ja palveluntarjoajien kanssa eri teknologiapinoissa.
Syvemmälle: SAML-virrat tarkemmin
SAML-pyyntö: Palveluntarjoajan IDP:lle lähettämä pyyntö käyttäjän todentamiseksi.
SAML-vastaus: IDP:n todennuksen jälkeen lähettämä viesti, joka sisältää tietoja käyttäjästä.
Väitteet (assertions): IDP:n lausumia käyttäjästä, ja niissä on attribuutteja, kuten käyttäjätunnus tai sähköpostiosoite.
Digitaaliset allekirjoitukset: Niillä varmennetaan väitteet ja varmistetaan, ettei niitä ole muutettu luvatta.
Relay state: Syvälinkki, joka varmistaa, että käyttäjä ohjataan todennuksen jälkeen takaisin alun perin aiottuun kohteeseen.
Kun käyttäjä pyytää pääsyä, IDP:lle lähetetään SAML-pyyntö, ja se lähettää tarkistuksen jälkeen takaisin SAML-väitteen. Kun palveluntarjoaja on vahvistanut väitteen, käyttäjä saa haluamansa pääsyn.
Selaimen SAML Tracerin kaltaisilla työkaluilla tämän virran voi visualisoida. Se antaa läpinäkyvän kuvan todennusprosessista ensimmäisestä pyynnöstä viimeiseen todennuksen jälkeiseen uudelleenohjaukseen.
SAML-väitteiden tietoturvatoimet
Mahdollisia tietoturvauhkia vastaan:
Aikaleimoja käytetään toistohyökkäysten estämiseen, jotta SAML-väite on voimassa vain lyhyen aikaikkunan.
Digitaaliset allekirjoitukset takaavat, ettei tietoja ole peukaloitu vaihdon aikana.
Lisäksi väitteet voivat sisältää käyttäjäattribuutteja, kuten sähköpostiosoitteita tai käyttäjätyyppejä, mikä mahdollistaa tarkemman käyttöoikeuksien hallinnan palveluntarjoajan puolella.
Lopuksi
SAML on pohjimmiltaan XML-pohjainen protokolla, joka sisältää todennuksen keskeiset elementit. Se voi tuntua taikuudelta, mutta se on tulos harkitusta teknologiasta, joka on suunniteltu torjumaan hyökkäyksiä, kuten ”man-in-the-middle”- tai toistoskenaarioita.
Kyky yhdistää useita palveluntarjoajia eri teknologiapinoja käyttäviin IDP:ihin tekee SAMLista digitaalisen todennuksen kulmakiven.
Pysy kuulolla
Lähde Salesforce Identity -matkallesi luottavaisin mielin! Lisää näkemyksiä ja vinkkejä löydät täältä www.SteveTechArc.com-sivustolta ja YouTube-kanavalta @SteveTechArc (opens in a new tab). Tilaa kanava ja syvennä ymmärrystäsi Salesforce Identitystä.
Autamme muuttamaan maailmaa jakamalla integraatio-osaamista muille arkkitehdeille ja kaikille, jotka ovat matkalla arkkitehdiksi!
STA 3.6