single-sign-on - 在 SAML 2.0 中，IdP 和 IdP Lite(light)以及 SP 和 SP Lite 之间有什么区别？

Question

我正在研究 SSO 技术，尤其是 SAML 2.0，并且我看到了 IdP、IdP Lite、SP 和 SP Lite 的操作模式。我能找到的关于这些“精简”模式的唯一引用是在 SAML 2.0 spec 上的一致性部分。 .

完整版和精简版之间的唯一区别是“精简版”是完整版的子集吗？如果使用精简版，他们会缺少哪些关键功能？

Answer 1

IdP Lite 和 SP Lite 确实是 IdP 和 SP 的子集。

主要区别在于不支持“托管名称标识符”(有时称为“持久标识符”)。它们是动态创建的匿名 ID，并在 IdP 和 SP 之间就用户身份达成一致。有一组消息专门用于建立、维护和撤销这些标识符。参见 Section 3.6 in SAML 2.0 core - NameID 格式为“urn:oasis:names:tc:SAML:2.0:nameid-format:persistent”。

许多 SAML 2 部署不利用它们 - 因此在一致性方面简化它很有意义。

“完全”一致性的其他一些较少使用的部分(例如不寻常的绑定(bind)，例如基于 SOAP 的 SLO)也已成为可选部分。