SAML 2.0
SAML 2.0 では、SAML 1.1 と同様に、主要なユースケースは依然として Web ブラウザによる SSO であるが、SAML 2.0 のスコープは、以下のプロファイルの網羅的なリストに示されているように、以前のバージョンの SAML よりも広くなっている。
SSO Profiles Web browser SSO profile Enhanced Client or Proxy (ECP) Profile Identity Provider Discovery Profile Single Logout Profile Name Identifier Management Profile
Artifact Resolution Profile
Assertion Query/Request Profile
Name Identifier Mapping Profile
SAML Attribute Profiles Basic Attribute Profile X.500/LDAP Attribute Profile UUID Attribute Profile DCE PAC Attribute Profile XACML Attribute Profile
サポートされているプロファイルの数は非常に多いものの、各プロファイルのバインディング面が別のBindings仕様(SAMLBind)に集約されているため、Profiles仕様(SAMLProf)は簡素化されている。
メタデータは、文字通り、SAMLを(うまく)機能させるものである。メタデータの重要な使用例には以下が含まれる:
サービス・プロバイダは、ブラウザ経由で アイデンティティ・プロバイダに <samlp:AuthnRequest> 要素を送信する準備をする。サービス・プロバイダは、ID プロバイダが本物であり、ユーザのパスワードを phish しようとする悪質な ID プロバイダではないことをどのようにして知ることができるのか?サービス・プロバイダは、認証要求を発行する前に、メタデータ内の信頼できる ID プロバイダのリストを参照する。
前述のシナリオでは、サービス・プロバイダは認証要求を持ったユーザーをどこに送ればよいかを どうやって知るのか?サービス・プロバイダは、メタデータ内の、信頼できる ID プロバイダの事前に取り決められたエンドポイントの場所を調べる。
アイデンティティ・プロバイダは、ブラウザを介してサービス・プロバイダから<samlp:AuthnRequest>要素を受け取る。アイデンティティ・プロバイダはどのようにして、サービス・プロバイダが本物であり、ユーザーに関する個人を特定できる情報を採取しようとしている悪質なサービス・プロバイダではないことを知るのか。ID プロバイダは、認証応答を発行する前に、メタデータ内の信頼できるサービス・プロバイダのリストを参照する。
前述のシナリオでは、アイデンティティ・プロバイダはどのようにして SAML アサーションを暗号化し、信頼されたサービス・プロバイダ(および信頼されたサービス・プロバイダのみ)がアサーションを復号できるようにするのか。