SAML NameId策略

Question

我对单点登录（SSO）的概念还很陌生。我了解到SAML请求和响应是实现SSO过程的最佳方式。然后，我开始阅读关于SAML2.0的内容。我遇到了一个在saml1.0中不存在的术语NameIdPolicy。

定义说，它是我们从IdP请求的NameID的格式。我想知道这个格式是什么？我的意思是，来自IDP的哪些数据应按照NameIDPolicy指定的格式进行？有人能向我简要介绍一下这个NameIdPolicy概念吗？

- suraj

Answer 1

根据SAML 2.0核心规范，NameIDPolicy用于指定表示所请求主体的名称标识符的约束条件。如果省略，则可使用身份提供方支持的任何类型的标识符来代表所请求的主题，并受到任何相关部署特定策略的约束，例如隐私。

进行身份联合时，相关方必须就主要关联帐户的标识符达成一致。该标识符字符串称为NameID，其规范（包括格式）为 NameIDPolicy。

例如，服务提供商（SP）通过向身份提供者（IDP）发送一个包含数据的AuthnRequest开始联合。

<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />

这会告诉身份提供者，它的响应断言 XML 应该包含类似以下内容的东西

<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">[e-mail]</saml:NameID>

其中电子邮件地址代表着正在进行认证的主体。

您可以通过阅读SAML 2.0 维基百科页面（写得很好），SAML 2.0 核心规范和SAML 2.0 名称标识符文档来了解更多信息。

- mshikaji