在SAML 2.0中，IdP和IdP Lite（light）以及SP和SP Lite有什麼區別？

Question

我正在研究SSO技術，尤其是SAML 2.0，並且我看到了IdP，IdP Lite，SP和SP Lite的操作模式。我可以在這些「lite」模式中找到的唯一參考文件位於SAML 2.0 spec的符合性部分。

完整版和輕量版的唯一區別在於「精簡版」是完整版的子集嗎？如果他們使用lite版本，會丟失哪些主要功能？

Answer 1

IdP Lite和SP Lite確實是IdP和SP的子集。

主要區別是缺少對「管理名稱標識符」（有時稱爲「持久標識符」）的支持。它們是在IDP和SP之間動態創建並同意用於用戶識別的匿名ID。有一組消息專門用於建立這些標識符，維護它們並撤消它們。請參閱Section 3.6 in SAML 2.0 core - NameID格式爲「urn：oasis：names：tc：SAML：2.0：nameid-format：persistent」。

許多SAML 2部署不利用它們 - 因此簡化它的一致性很有意義。

「完全」一致性的其他一些較少使用的部分（如異常綁定，如基於SOAP的SLO）也可選。

Answer 2

一個更加憤世嫉俗的回答：關於哪些功能可以拋出並仍然能夠聲明一致性有很多爭論，並且關於什麼功能很重要或沒有什麼經驗。 2005年的一致性規範在這個問題上是一套非常古老的觀點，並且它在2012年與現實沒有太多聯繫。一些「需要」的功能從未被使用過，有些功能是可選的，需要很好擴展的實施（元數據就是一個很好的例子）。