java - HTTPバインディング用のSAML

Question

SOAPバインディングとSAMLトークンが渡されたWebサービスがあります。SAMLをHTTPバインディングにも適用する標準的な方法はありますか？代替案を提案してもらえますか？

（KVPリクエストとimage / jpg mimeタイプを使用したいので、HTTPバインディングが必要です）

Answer 1

SAMLトークンを使用してhttpリクエストをどのように認証するかを尋ねる場合、一般的な答えはそうではないということです。SAMLトークンを使用してサービスに認証し、httpリクエストのCookieを配布します。少なくとも、これはエンドユーザーのために行われる方法です。

API（REST APIなど）を使用して何かを行う場合は、Cookieを使用せずに、同様のことを行います。API呼び出しを行って認証し、有効なSAMLトークンを渡します。これによりキーが作成され、それらのキーを使用してリクエスト全体に署名（HMAC）します。これは、認証ヘッダー（これを行う正しい方法です）で実行するか、パラメーターとして追加することができます。サーバーはメッセージの署名/HMACの有効性をチェックし、有効な場合はAPI呼び出しを実行します。

これは技術の長い議論です。これは、そうすることに関するMSDNの記事です。これはJavaではなくC＃用ですが、セキュリティに関する考慮事項のセクションは直接適用可能であり、短いグーグルで見つけた中で最高のものです。