saml - SAMLアサーションに必要な署名

Question

SAMLトークンに署名する必要がありますか？スキーマによると、署名要素は必要ないようです。

SAMLトークンに署名する代わりに、コンシューマーが信頼できるコンシューマーであることを確認するために、クライアント証明書（双方向SSL）が必要になります。これは実行可能なオプションですか？

Answer 1

使用しているバインディングとユースケースによって異なります。アーティファクト解決プロトコルについて話している場合、SOAPバインディングは、たとえば署名されたSAML応答を必要としません。ただし、HTTP Post Binding（Web SSOプロファイル）には常に署名が必要です。

相互TLS認証はSOAPバインディングで許可されていますが、WebSSOプロファイルではまったく実用的ではありません。

したがって、各プロファイル/バインディングには独自の要件があるため、実際にはユースケースによって異なります。

Answer 2

HTTP Post Binding（Web SSOプロファイル）には常に署名が必要です。これは、ほとんどのIdPで構成可能なオプションです。例：SAPNetweaverIdP。