20、实现动态身份联合管理的SAML扩展

实现动态身份联合管理的SAML扩展

1. 身份联合技术背景

身份联合可以通过正式的互联网标准（如OASIS SAML规范）或开源技术及其他公开规范（如Liberty Alliance Identity Federation Framework、Shibboleth、OpenID或WS - Federation）来实现。下面为大家介绍主要的身份联合技术。
- Security Assertion Markup Language (SAML) ：定义了一个基于XML的框架，用于在实体之间交换安全断言。它包含四个元素：断言（Assertions）、协议（Protocols）、绑定（Bindings）和配置文件（Profiles）。SAML具有高度灵活性，所有组件都可扩展，元数据（Metadata）也是一个扩展点，可用于指定通信实体间配置信息的共享方式。
- OpenID ：是一个开放、去中心化且免费的以用户为中心的数字身份框架，基于现有互联网技术，适用于Web场景。其主要特点是用户中心性，用户可自主选择信任的身份提供者（IdP），甚至可成为自己的IdP。不过，OpenID主要是认证协议，联合需通过扩展实现，且规范定义较严格，适用的Web单点登录（SSO）用例范围较窄，信任、安全和隐私方面未深入研究。
- Liberty Alliance (LA) ：旨在建立开放标准，方便在线交易，同时保护身份信息的隐私和安全。其规范基于SAML，支持身份联合和管理，如身份/账户链接、单点登录和简单会话管理。LA的ID - FF规范为SAML 2.0奠定了基础。
- Shi