SAML聲明上的必需簽名

Question

是否需要簽署SAML令牌？根據模式，它看起來不需要簽名元素。

爲了替代對SAML令牌進行簽名，我們需要客戶端證書（雙向SSL）來驗證消費者是否爲受信任的消費者。這是一個可行的選擇嗎？

Answer 1

這取決於你使用的綁定和你的用例是什麼。如果您正在討論工件解析協議，則SOAP綁定不需要簽名的SAML響應。但是，HTTP帖子綁定（Web SSO配置文件）總是需要簽名。

允許對SOAP綁定進行相互TLS身份驗證，但對於Web SSO配置文件來說，這是不實際的。

所以，它真的取決於你的用例是什麼，因爲每個配置文件/綁定有它自己的要求。

Answer 2

HTTP Post Binding（Web SSO配置文件）始終需要簽名。它是大多數IdP的可配置選項。例如SAP Netweaver IdP。