saml - 是骨灰盒 :oasis:names:tc:SAML:2. 0 :nameid-format:emailAddress a valid NameID format?

Question

在 OASIS 规范中，我可以阅读以下有效的 nameid 格式:

urn:oasis:names:tc:SAML:2.0:nameid-format:persistent

urn:oasis:names:tc:SAML:2.0:nameid-format:transient

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

urn:oasis:names:tc:SAML:1.1:nameid-format:X509SubjectName

urn:oasis:names:tc:SAML:1.1:nameid-format:WindowsDomainQualifiedName

urn:oasis:names:tc:SAML:2.0:nameid-format:kerberos

urn:oasis:names:tc:SAML:2.0:nameid-format:entity

但找不到 urn:oasis:names:tc:SAML:2.0:nameid-format:emailAddress。

如果我进行快速的谷歌搜索，这种格式会出现多次，包括 Cisco Spark 的文档。 .

有人可以向我澄清这个问题吗？似乎有人发明了这种 nameid 格式，现在一些 IdP/SP 正在使用它。

Answer 1

@smartin——你似乎在 OneLogin 工作，我最近提交了一张关于这个的票:-)。我认为你的预感是对的；有人看到有 SAML 1.1 和 SAML 2.0 并假设 urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress 中的 1.1是一个错误。

规范文档的第 8 节开头提到了这一点:

The following sections define URI-based identifiers for common resource access actions, subject name identifier formats, and attribute name formats. Where possible an existing URN is used to specify a protocol. In the case of IETF protocols, the URN of the most current RFC that specifies the protocol is used. URI references created specifically for SAML have one of the following stems, according to the specification set version in which they were first introduced:

urn:oasis:names:tc:SAML:1.0:
urn:oasis:names:tc:SAML:1.1:
urn:oasis:names:tc:SAML:2.0:

http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf

由于电子邮件地址标识符是在 SAML v1.1 中引入的，所以这是有道理的。在此处查看第 7 节介绍和 7.3.2 ( https://www.oasis-open.org/committees/download.php/3406/oasis-sstc-saml-core-1.1.pdf )。

所以，tl;dr: urn:oasis:names:tc:SAML:2.0:nameid-format:emailAddress与 SAML 1.1 和 SAML 2.0 规范相冲突。