SAML

認証情報/認可情報をやりとりするためのプロトコル。シングルサインオンなサービス間で認証/認可情報をやりとりする時に使われる。SOAPベース。

用語

• アサーション（Assertion）
  • 対象とする主体の認証や属性あるいは資源に関する認可権限の証明。
  • SAMLオーソリティによって発行される。
• オーソリティ（Authority）
  • 認証や認可を行うシステム。要はサーバー?
  • 認証オーソリティ、属性オーソリティ、認可決定オーソリティの3つがある。
• 認証オーソリティ
  • ユーザーの認証を行うところ。認証結果として認証アサーションを返す。
• 属性オーソリティ
  • ユーザーの属性情報を管理する?ところ。属性アサーションを発行する。
• 認可決定オーソリティ
  • アクセス制御におけるユーザーの権限を評価し、認可決定アサーションを返すところ。
• ポリシー実行点
  • オーソリティから返されたアサーションを元に、アクセス制御を実行するところ。

SSO(シングルサインオン)での基本的な認証手順

• SSO PULLモデル
• SSO PUSHモデル

の2つがあるらしい。

SSO PULLモデル

1. クライアントがクレデンシャル（パスワードまたは公開鍵または認証の参照先）を、認証オーソリティに送る。
2. 認証オーソリティはクライアントを認証し、認証アサーションの参照先を返す。
3. クライアントが目的Webサイトにアクセスする。このとき、認証アサーションの参照先も一緒に渡す。
4. 目的Webサイトは、認証アサーションの参照先を元に、認証オーソリティにアクセスし、クライアントの認証情報を引き出す(PULL)。
5. 認証情報が正しく、正規の権限を持つユーザーであれば、アクセスを許可する。

SSO PUSHモデル

1. クライアントがクレデンシャルと目的Webサイトの情報を、認証オーソリティに送る。
2. 認証オーソリティはクライアントを認証し、目的Webサイトに認証アサーションを送る(PUSH)。
3. 目的Webサイトは認証オーソリティへアクセス決定の参照先(よくわからん。セッションIDみたいなものか?)を提供する。
4. 認証オーソリティはクライアントに決定の参照先を返し、目的Webサイトへのリダイレクトを促す。
5. クライアントは目的Webサイトにアクセスする。

参考:

• @IT - 強力なSSOを実現するXML認証・認可サービス（SAML）