Saml 2.0：如果不允許使用SubjectConfirmationData，爲什麼NotBefore模式中？

我們有幾個使用Saml 2.0進行單一登錄的服務提供商，他們都工作正常。我們最近的補充是因爲我們在SubjectConfirmationData元素上發送了一個NotBefore屬性，所以我們不敢恭維。據我所知，這是Saml 2.0（https://docs.oasis-open.org/security/saml/v2.0/saml-schema-assertion-2.0.xsd）的xsd模式的一部分，但它在此配置文件PDF（https://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf）中被標記爲MUST NOT。Saml 2.0：如果不允許使用SubjectConfirmationData，爲什麼NotBefore模式中？

我缺少什麼？

來源

2017-08-18 user34314

正如您發現的那樣，Web瀏覽器SSO配置文件 - 您正在使用該配置文件爲用戶提供單點登錄作爲身份提供商 - 規定您不應設置NotBefore。該配置文件爲通常使用的Assertion定義的模式設置了進一步的限制，這是完全正確的。

服務提供商手頭嚴格檢查合規性，從而拒絕您的聲明。迄今爲止它一直在努力的事實可能意味着其他服務提供商的實施更爲寬鬆。

來源

2017-08-20 09:30:21

我的問題是，爲什麼衝突？爲什麼如果你不應該使用它，爲什麼在模式中呢？ – user34314

沒有衝突。該模式定義瞭如何構建斷言以及不同的配置文件設置自己的限制。正如你可以在https://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf中看到的那樣，只有Web瀏覽器SSO配置文件設置了這個限制，所以'NotBefore '可能會用在那裏的任何其他配置文件中。 –

Saml 2.0：如果不允許使用SubjectConfirmationData，爲什麼NotBefore模式中？

回答

相關問題