saml - SAML 2.0 中的接收者与受众

Question

有人能解释一下 和有什么区别吗？收件人和 观众 在 SAML 2.0 中？

我在这里从 OneLogin 中找到了非常模糊的解释:
https://support.onelogin.com/hc/en-us/articles/202673944-How-to-Use-the-OneLogin-SAML-Test-Connector :

The Recipient will tell you exactly who the SAML response is for, but the Audience will tell you, at a broader level, where the response should go. So for example, the Recipient could be Yankee Stadium, while the Audience could be New York City.

但是，我不是 100% 确定它是正确的。我已经看到 Audience 比 Recipient 更具体。

Answer 1

收件人与 SAML 断言的主题元素相关联，该元素是关于为其执行身份验证的用户或主题，并且主题数据由 IdP 授予该特定接收者 (SP)，该接收者可以对断言采取行动。

主题数据，例如 NameID 格式、值(在 IdP 和 SP 之间唯一标识用户或主题)、该 NameID 值采用什么 token 格式(例如:不记名 token )、谁是接收和 token 的有效性。通常 Receipt 将是接收断言的 SP 端点。

   ...
   <saml:Subject>
     <saml:NameID
       Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient">
       3f7b3dcf-1674-4ecd-92c8-1544f346baf8
     </saml:NameID>
     <saml:SubjectConfirmation
       Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
       <saml:SubjectConfirmationData
         InResponseTo="aaf23196-1773-2113-474a-fe114412ab72"
         Recipient="https://sp.example.com/SAML2/SSO/POST"
         NotOnOrAfter="2004-12-05T09:27:05"/>
     </saml:SubjectConfirmation>
   </saml:Subject>
   ...

观众 与 SAML 断言的 Condition 元素相关联，它说明在哪些安全条件或上下文下，断言是有效的，并提供一些与此类有效性相关的条款和条件(如断言的时间有效性、谁可以使用断言等)。通常，Audience 将是 SP 的 EntityID。

   ...
   <saml:Conditions
     NotBefore="2004-12-05T09:17:05"
     NotOnOrAfter="2004-12-05T09:27:05">
     <saml:AudienceRestriction>
       <saml:Audience>https://sp.example.com/SAML2</saml:Audience>
     </saml:AudienceRestriction>
   </saml:Conditions>
   ...

Audience 和 Receipt 在 SAML 断言中针对特定目的进行布局，不能盲目认为它们都具有与其值相同的 SP URL。此外，这取决于 IdP 实现以及 IdP 和 SP 协商提出要在 SAML 断言的受众和接收元素中使用的值。