24、联合身份：从概念到实践的深度剖析

联合身份：从概念到实践的深度剖析

在当今数字化时代，身份账户的激增带来了诸多挑战。人们难以记住多个用户名和密码，而组织则需要构建和运营多个身份管理系统。联合身份（Federated Identity）作为一种解决方案，将两个或多个系统中的账户关联起来，为解决这些问题提供了有效途径。

联合身份的本质与优势

联合身份具有显著优势，主要体现在以下几个方面：
- 提升用户体验 ：减少获取不同资源服务所需的账户数量，降低使用摩擦。
- 增强安全性 ：减少用户需要记忆的密码数量，将资源、政策和操作集中于一个认证服务。
- 降低成本 ：企业无需构建过多的认证系统。

与集中式身份（Centralized Identity）相比，集中式身份系统中账户系统与受保护资源处于同一域，每个域独立验证请求服务的实体。随着网络的发展，集中式身份系统越来越少见。例如个人笔记本电脑的账户系统，虽最初是集中式的，但多数人会将其与苹果iCloud或微软Live账户关联，形成联合身份。

通用联合身份模式如图所示，用户（如Alice）先在身份提供者（Identity Provider，IdP）系统进行身份验证，然后访问依赖方（Relying Party，RP）系统的服务或资源。IdP和RP之间存在信任关系，RP因此确信用户已通过正确认证。信任关系的建立方式、性质和范围是不同类型联合身份的主要区别。

联合身份的数据传输有两种方式：
- 后通道呈现（Back-channel Presentation）