SAML和標識

Question

我們的客戶使用Okta，並要求我們使用SAML啓用我們的應用程序，以便他們可以使用Okta中的idnet訪問它。

我們打算使用OpenSAML來做到這一點。到現在爲止還挺好。

但是通常，我們的應用程序可以訪問來自內部LDAP或AD的身份（用戶，組/成員的列表），例如。我們通常使用這些身份在我們的應用中配置授權（授予某些用戶訪問某些資源的權限）。僅使用SAML，我看不到如何訪問整個用戶/組列表。而據我所知，SAML的目標不是提供它。

這種情況通常如何解決？我們是否應該嘗試同步Okta和我們的應用程序之間的身份？這是所謂的供應嗎？有Okta API，SCIM，JIT，...或者我們應該採取完全不同的方法？

謝謝！

Answer 1

在SAML中處理授權的典型方法是使用SAML斷言來確定用戶應具有的授權。使用哪個斷言以及它是如何取決於您的授權模型。

請注意，使用斷言會將確定授權的責任推到SAML身份提供者的管理員身上，它將高達他們決定誰有權訪問什麼。

支持「企業聯合」的理想情況是支持SSO和Provisioning。用於供應的SSO和SCIM的SAML或OIDC。

如果您的軟件不依賴於最新的用戶列表，僅支持帶有「JIT」的SAML就足夠了。使用「JIT」或「準時」配置的SAML只意味着您的SAML服務提供商實施將添加以前從未見過的用戶。