保证Web服务安全的SAML
保证Web服务安全的SAML
安全声明标记语言(Security Assertion Markup Language,SAML)是一种实现Web服务安全产品之间互操作的建议标准。SAML可以保证端到端、机构内部以及从企业到企业的安全性,具有成为互操作性标准的潜力。即将得到“促进结构化信息标准组织”批准的SAML 1.0能够与XML和简单对象访问协议(SOAP)配合使用。随着企业越来越多地在Web服务环境中部署接入管理解决方案和其他安全产品,SAML开始表现出强大的威力。
SAML 1.0定义了安全域与策略域之间的基于SOAP的互动,支持Web一次登录(SSO)、认证和授权。SAML 1.0定义了请求和回答信息,安全域交换这些信息来保证认证决定、授权决定和属于特定用户与资源的属性。SAML 1.0还定义了认证权威机构、属性权威机构、策略决定点和策略执行点等功能性实体。
在具有SAML功能的Web SSO环境中,用户可以通过ID/口令等认证技术登录到主域或源域中。源域利用包含SAML“认证声明”和“属性声明”的信息,向一个或多个目的域发送认证决定以及为这一决定提供安全环境的其他信息。
SAML环境
在支持Web SSO和浏览器/ artifact的最基本的SAML 1.0互操作性环境中,用户可以通过以下操作实现与具有SAML功能的Web网站互动。
● 用户的浏览器通常通过HTTP/安全套接层(SSL)访问源站点(站点起到SAML认证管理机构的作用);
● 源站点要求浏览器提供用户ID和口令;
● 浏览器通过输入用户ID和口令,回答源站点的询问;
● 源站点调用外部认证服务器(如轻型目录访问协议目录)认证浏览器;
● 浏览器通过点击源站点上的通用资源标识(URI),请求保存在目的服务器上的特定资源,从而重新定向到源站点的“站点间传输服务”URL上;
● 源站点保持会话并生成一个生存期暂短的SAML认证,来声明一个事件已经发生(根据认证声明上的条件以及被请求的目的服务和资源定义的策略);
● 源站点将声明信息保存在本地缓存中;
● 源站点利用SSL将一个包含SAML artifact(一种8字节Base64串)的URI返回给浏览器,这个附加的SAML artifact指向认证声明并将浏览器改向连接到请求的目的站点和资源;
● 目的站点使用SAML artifact从源站点请求/索取这个引用的认证声明(通常通过SSL会话);
● 目的站点保持会话,解析/验证认证声明信息,并批准浏览器对请求资源的访问。
工作原理
作为一项为Web服务提供安全保护的建议标准,SAML的工作原理如图所示。
1、 最终用户的浏览器访问认证服务器,认证服务器询问用户ID和口令。
2、 最终用户输入ID和口令。认证服务器检查LDAP目录,然后认证最终用户。
3、 最终用户从目的/Web服务器请求资源,认证服务器开始与目的服务器的一次会话。
4、认证服务器给最终用户发送URI,最终用户的浏览器被指向URI,URI将最终用户联接到Web服务。
同任何标准一样,检验SAML 1.0能否成为真正标准的决定因素在于是市场的接受程度以及它能否推动Web服务发展。为了使SAML真正成为标准,Web安全解决方案厂商正在认真解决支持不同SAML 1.0产品互操作性所面临的许多技术问题。
- 1企业知识吸收能力的主要影响因素(刘常勇 谢洪明)
- 2Web服务防黑谈(一)
- 3信息生命周期管理(ILM)(田新泉)
- 4泛普(上海)OA绩效有以下特点
- 5IBM推出面向移动设备的Web服务编程工具
- 6上海OA中的PM思想(孙洪波)
- 7专访鲍尔默:微软要做网络服务霸主
- 8Sun ONE完美Web服务
- 9企业上海OA核心价值是什么
- 10技术创新类型与上海OA方法的关系研究(谢洪明刘常勇)
- 11知识转移,是防范信息化风险的首要良方
- 12Perspective:关于网络服务的5大谎言
- 13证据显示微软曾阻碍Sun参加网络服务标准组织
- 14评论:企业的“网络服务”时代到来了?
- 15泛普(上海)OA办公软件将推出终身基础免费协同软件
- 16Web服务的标准之争和商机之争
- 17数据集市:数据库的基础之一(by AMT 胡鹏)
- 18如何运用上海OA促进发展
- 19电子商务中物流服务内容分析
- 20企业技术官员关注数据安全与交换问题
- 21善用你的知识财产
- 22.Net和Java机会均等
- 23ASP.NET Web服务还是.NET Remoting:如何选择
- 242014年下半年国内OA办公软件市场谁将是“老大”?
- 25知识化银行
- 26Web Service管理的集大成者
- 27利用已有优势 Novell不甘在Web服务作配角
- 28Google总裁鼓吹Web服务创新
- 29论文:知识型企业的上海OA策略(By AMT 宋亮)
- 30定制化OA办公软件前途如何?
成都公司:成都市成华区建设南路160号1层9号
重庆公司:重庆市江北区红旗河沟华创商务大厦18楼