8、访问声明凭证详解

访问声明凭证详解

1. 访问声明凭证概述

在选择访问声明的凭证时，可选项众多，但要求相当严格。凭证必须基于标准且广泛使用，能够确保完整性，并可由接收方验证和确认。安全断言标记语言（SAML）满足这些要求。不过，SAML主要用于单点登录（SSO）认证，过去曾遭受过欺骗和中间人攻击。SAML的规范经过多次迭代，分别于2008年、2010年和2012年发布。

2. 安全断言标记语言（SAML）

• SAML的地位与特点 ：SAML在联合身份部署的行业接受度方面占据主导地位，被数万个SSO连接采用。众多大型企业、政府机构和服务提供商选择它作为跨互联网通信身份的标准协议。SAML基于XML，具有很高的灵活性，其部分标准（如SAML断言格式）已被纳入其他标准（如WS - Federation）。
• SAML令牌的作用与构成 ：呈现访问控制声明的主要方法是使用SAML令牌。SAML令牌由安全令牌服务（STS）按每次调用的方式颁发，用于建立授权会话。它包含属性声明、组成员身份、角色以及扩展声明（包括授权和可信声明）。STS是一个受信任的应用程序，其签名被所有SAML用户认可。
• SAML令牌的使用与保护 ：SAML令牌的使用遵循WS - Security（WSS）框架，用于使用SOAP信封的Web服务访问。企业使用WS - Security SAML绑定包。SAML令牌包含在SOAP消息请求中，使用XML签名标准进行签名，内容使用XML加密标准进行保护。