SAML NameId 策略

Question

我是单点登录(SSO)概念的新手。我开始知道 SAML 请求和响应是实现 SSO 流程的最佳方式。然后我开始阅读有关 SAML2.0 的信息。我来了一个术语 NameIdPolicy 在 saml1.0 中没有的 saml2.0。
定义说这是我们从 IdP 请求的 NameID 的格式。我想知道该格式是什么？我的意思是来自 IDP 的哪些数据应该采用 NameIDPolicy 指定的格式？谁能向我简要介绍一下这个 NameIdPolicy 概念？

Answer 1

来自 SAML 2.0 core spec , 名称IDPolicy

指定对用于表示请求主题的名称标识符的约束。如果省略，
然后可以使用身份提供者支持的所请求主题的任何类型的标识符，
受限于任何相关的特定于部署的策略，例如隐私。

在执行身份联合时，关联方必须就委托(delegate)人的关联账户的标识符达成一致。标识符字符串称为 姓名ID 它的规范，包括格式，是 名称IDPolicy .

例如，服务提供者 (SP) 通过向身份提供者 (IDP) 发送 AuthnRequest 来发起联合，其中包含

<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />

这告诉 IDP 它的响应断言 XML 应该包含类似

<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user@example.com</saml:NameID>

其中电子邮件地址代表正在验证的主题。

您可以阅读 SAML 2.0 Wikipedia page 了解更多信息(写得很好)， SAML 2.0 core spec和 SAML 2.0 Name Identifier document .