Стандарт SAML для сопоставления атрибутов поставщика услуг

Question

Мы работаем с провайдером идентификации Shibboleth, и нас все чаще просят интегрироваться с приложениями, использующими решения SAML, отличные от Shibboleth, и сталкиваются с трудностями в отношении именования атрибутов. Я знаю, что с чистыми отношениями IdP и SP Shibboleth IdP может передавать пользовательские атрибуты поставщику услуг, используя произвольные имена атрибутов в утверждении. Поставщик услуг, настроенный для получения определенных атрибутов с использованием имен, предоставленных IdP, повторно отображает атрибуты из IdP в имена атрибутов, полезные для поставщика услуг, используя конфигурацию в файле attribute-map.xml.

Моя проблема связана с операторами, не являющимися поставщиками услуг Shibboleth, многие из которых отказались повторно сопоставлять атрибуты, отправленные с IdP, вместо этого требуя определения новых атрибутов на IdP (для переноса значений, уже доступных в существующих атрибутах), используя имена, продиктованные Владелец поставщика услуг. Это приводит к тому, что объект атрибута пользователя в IdP неоправданно увеличивается (во время аутентификации), потому что все определенные атрибуты сначала заполняются значениями, а затем они фильтруются только до тех атрибутов, которые утверждены для выпуска запрашивающему SP.

Является ли функция сопоставления атрибутов, присутствующая в поставщике услуг Shibboleth, частью спецификации / стандарта SAML/SAML 2.0, или это функция, представленная разработчиками Shibboleth? Если это часть стандартных отношений / поведения в решении SAML, может ли кто-нибудь направить меня к официальному стандартному документу?

Я прочитал, что я могу найти на OASIS относительно стандартов SAML, но я не могу найти ничего относительно этого поведения.

Answer 1

Сопоставление атрибутов - это специфическая функциональность приложения.

Спецификация (и) SAML подробно описывает такие вещи, как обмен сообщениями и схемы XML, а не функциональное программное обеспечение, которое должно обеспечивать, или как должны быть организованы двусторонние соглашения между IdP и SP. Они не имеют ничего общего со спецификацией SAML. Сожалею.

Обратите внимание, что существует множество других продуктов SAML, которые предоставляют аналогичные функциональные возможности сопоставления атрибутов, но не просто Shibboleth делает это. Я полагаю, что проблема в том, что поставщики услуг считают свои требования более важными, чем ваши, и не готовы сделать исключение. Или это, или они не знают как.