Security Assertion Markup Language
ユーザがIdPで認証を受けたあと、SPのサービスを利用しようとすると、IdPはユーザのセキュリティ・コンテクストからアサーションを作成し、アサーションをSPに送る。
アサーションには例えばユーザに関する以下の情報が載っている:
IdPとSPのユーザリストに載っている
IdPとの認証で受理された
SPが必要とするユーザの属性(年齢、性別、ゴールドカードのメンバーである等)
上で説明したユースケースではユーザはSPにアクセスする前にIdPに認証を受けるフロー(IdP-initiated flow)を説明したが、逆にSPにアクセスした後にIdPから認証を受けるフロー(SP-initiated flow)のほうがより一般的である。というのも検索サイトやブックマークなどから直接SPのサイトにアクセスした場合は、IdPからの認証を受ける前にユーザがSPにアクセスする事になるからである。このためSAMLは両方のフローに対応している。