SAML Bindings のバックアップ(No.4)

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
SAML Bindings へ行く。
- 1 (2019-04-16 (火) 12:54:47)
- 2 (2019-04-16 (火) 15:21:08)
- 3 (2019-04-17 (水) 09:34:29)
- 4 (2019-04-20 (土) 20:14:11)
- 5 (2019-04-20 (土) 21:24:31)
- 6 (2019-04-21 (日) 20:17:22)
- 7 (2019-04-21 (日) 20:24:02)
- 8 (2019-05-20 (月) 14:13:45)
- 9 (2019-05-20 (月) 17:09:34)
- 10 (2019-05-27 (月) 17:02:56)

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
- Introduction
  - Protocol Binding Concepts
  - Notation
- Specifying Additional Protocol Bindings
以下、詳細
General Considerations
HTTP Redirect Binding
HTTP POST Binding
参考

↑

概要 †

汎用認証サイトにSAML2.0を実装するため仕様を読む。

ターゲットはSP Initiated な Web Browser SSO Profileに絞る。
ココに書いた情報は、SAML の Bindingsの範囲。

↑

Introduction †

SAML要求 / 応答メッセージ交換の

標準メッセージング
通信プロトコルへのマッピング

は、SAML Bindingsと呼ばれる。

↑

Protocol Binding Concepts †

特定の通信プロトコル<FOO>にマッピングした
SAML Bindingsは、SAML <FOO> Bindingと呼ばれる。

この仕様の目的は、
- SAML準拠ソフトウェアが確実に相互運用できるように、Bindingを十分に詳細に指定すること。
- 特に指定のない限り、Bindingは、以下から派生したメッセージとその送信をサポートする。
  - samlp:RequestAbstractType?
  - samlp:StatusResponseType?

↑

Notation †

技術文書中での Shall / Should / May
この仕様では従来のXML名前空間プレフィックスが使用される。
, etc.

↑

Specifying Additional Protocol Bindings †

追加仕様策定のガイドラインなど（割愛）

↑

以下、詳細 †

SAML規格の一部として指定されているBindingを定義

↑

General Considerations †

SAML規格として定義された全てのBindingの規範的特性

↑

Use of RelayState? †

幾つかのBindingは、状態情報を保存し伝達
するための "RelayState?" メカニズムを定義する。

SAML要求メッセージにRelayState?データが付随している場合、
- レスポンダはRelayState?メカニズムもサポートするBindingを使用して応答しなければならず、
- 応答には、要求で受け取った正確なRelayState?データを対応するRelayState?を含める必要がある。

↑

Security †

特に明記しない限り、セキュリティステートメントはすべてのBindingに適用される。
Bindingは、セキュリティ機能について追加のステートメントを出すこともある。

↑

Use of SSL 3.0 or TLS 1 †

クライアントがSSL 3.0 または TLS 1.0 を使用する際、
サーバはX.509 v 3証明書を使用

↑

Data Origin Authentication †

メッセージに関連するSAMLリクエスタとSAMLレスポンダの両方の認証はオプション
ベースとなるProtocolで利用できる認証メカニズムを利用して、データ発信元認証を提供できる。
仲介者を通過するBindingでは、SAML自体で認証メカニズム提供して使用する。

↑

Message Integrity †

SAML要求とSAML応答の両方のメッセージ完全性はOPTIONAL
ベースとなるProtocolで利用できるメカニズムを利用して、完全性を保証できる。
仲介者を通過するBindingでは、メッセージ・インテグリティが推奨される。

↑

Message Confidentiality †

SAML要求とSAML応答の両方のメッセージ機密性はOPTIONAL
ベースとなるProtocolで利用できるメカニズムを利用して、機密性を保証できる。
仲介者を通過するBindingでは、Protocolのメカニズムは要件を満たさない。

↑

Security Considerations †

展開の前に、脆弱性について分析すべき。

以下のコンテキスト上での、
- プロトコル交換
- 展開環境

メカニズムの組合せ
- 認証
- メッセージの完全性
- メッセージの機密性

詳細な議論についてはいを参照
- 特定のプロトコル処理規則[SAMLCore]
- SAMLセキュリティ問題文書[SAMLSecure]

↑

HTTP Redirect Binding †

SAML Protocol メッセージをURLパラメタで送信できるメカニズムを定義

URLパラメタでXMLメッセージを送信するには、
- 特殊エンコードが必要で
- 文字列長の制限がある。

HTTP POST BindingまたはHTTP Artifact Binding
- 2つの異なるBindingを組み合わせて要求 / 応答メッセージを送信可能。
- HTTP Redirect Bindingより大規模で複雑なメッセージ送信可能。

↑

Required Information †

#	項目	説明
1	Identification	urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect
2	Contact information	security-services-comment@lists.oasis-open.org
3	Updates	None.

↑

Overview †

UAを仲介者として使用して通信する必要がある場合を対象とする。

↑

RelayState? †

RelayState?が含まれてもよい。

値は長さが80バイトを超えてはならない。
他の保護から独立してエンティティによって完全性保護されるべき。
値は長さがから、署名は現実的でないので、チェックサム・擬似乱数を使用して改ざんを確認。

SAMLリクエスタがSAML要求メッセージにRelayState?データを

添付する場合、SAMLレスポンダは、
- RelayState?をサポートするBindingを選択して応答する必要がある。
- 受け取ったデータを、そのままレスポンスの中の対応するRelayState?パラメタに入れる。

添付しない場合、SAMLレスポンダは、
Profileまたは事前の合意の使用に基づいてRelayState?データを含めることができる。

↑

Message Encoding †

XMLをURLにエンコードする方法をSAMLEncodingに指定する。

既定値は、urn:oasis:names:tc:SAML:2.0:bindings:URL-Encoding:DEFLATE
このBindingをサポートする全てのエンドポイントはDEFLATE Encodingのサポートが必要。

↑

DEFLATE Encoding †

DEFLATE圧縮方式を介してURLにエンコード（署名されたコンテンツを含むSAMLは対象外）

XMLシリアル化手順
- <ds:Signature>要素がある場合、コレを削除（メッセージ長的に問題）
- DEFLATE圧縮メカニズムでSAMLを圧縮する。
- オクテットをbase64エンコードで文字列化する（改行または他の空白は結果から取り除く）。
- base64をURLエンコードし、クエリ文字列のSAMLRequestパラメタとしてURLに追加。
- 削除した署名を、下記の規則を使用して署名を追加する。
  - 署名アルゴリズムでSAML（空白を削除した）を署名する。
  - 署名アルゴリズム識別子[XMLSig]を、クエリ文字列のSigAlg?パラメタとしてURLに追加。
  - オクテットをbase64エンコードで文字列化する（改行または他の空白は結果から取り除く）。
  - base64をURLエンコードし、
- RelayState?をURLエンコードし、クエリ文字列のRelayState?パラメタとしてURLに追加。
- 次のいずれかの方法でクエリ文字列を構築する。
```
SAMLRequest=value&RelayState=value&SigAlg=value
SAMLResponse=value&RelayState=value&SigAlg=value
```

↑

HTTP POST Binding †

↑

Required Information †

↑

Overview †

↑

RelayState? †

↑

Message Encoding †

↑

Message Exchange †

↑

HTTP and Caching Considerations †

↑

Security Considerations †

↑

Error Reporting †

↑

Metadata Considerations †

↑

Example SAML Message Exchange Using HTTP POST †

↑

参考 †

https://docs.oasis-open.org/security/saml/v2.0/saml-bindings-2.0-os.pdf

1 Introduction
1.1 Protocol Binding Concepts
1.2 Notation

2 Guidelines for Specifying Additional Protocol Bindings

3 Protocol Bindings

3.1 General Considerations
3.1.1 Use of RelayState
3.1.2 Security
3.1.2.1 Use of SSL 3.0 or TLS 1
3.1.2.2 Data Origin Authentication
3.1.2.3 Message Integrity
3.1.2.4 Message Confidentiality
3.1.2.5 Security Considerations

3.2 SAML SOAP Binding
3.2.1 Required Information
3.2.2 Protocol-Independent Aspects of the SAML SOAP Binding
3.2.2.1 Basic Operation
3.2.2.2 SOAP Headers
3.2.3 Use of SOAP over HTTP
3.2.3.1 HTTP Headers
3.2.3.2 Caching
3.2.3.3 Error Reporting
3.2.3.4 Metadata Considerations
3.2.3.5 Example SAML Message Exchange Using SOAP over HTTP

3.3 Reverse SOAP (PAOS) Binding
3.3.1 Required Information
3.3.2 Overview
3.3.3 Message Exchange
3.3.3.1 HTTP Request, SAML Request in SOAP Response
3.3.3.2 SAML Response in SOAP Request, HTTP Response
3.3.4 Caching
3.3.5 Security Considerations
3.3.5.1 Error Reporting
3.3.5.2 Metadata Considerations

3.4 HTTP Redirect Binding
3.4.1 Required Information
3.4.2 Overview
3.4.3 RelayState
3.4.4 Message Encoding
3.4.4.1 DEFLATE Encoding
3.4.5 Message Exchange
3.4.5.1 HTTP and Caching Considerations
3.4.5.2 Security Considerations
3.4.6 Error Reporting
3.4.7 Metadata Considerations
3.4.8 Example SAML Message Exchange Using HTTP Redirect

3.5 HTTP POST Binding
3.5.1 Required Information
3.5.2 Overview
3.5.3 RelayState
3.5.4 Message Encoding
3.5.5 Message Exchange
3.5.5.1 HTTP and Caching Considerations
3.5.5.2 Security Considerations
3.5.6 Error Reporting
3.5.7 Metadata Considerations
3.5.8 Example SAML Message Exchange Using HTTP POST

3.6 HTTP Artifact Binding
3.6.1 Required Information
3.6.2 Overview
3.6.3 Message Encoding
3.6.3.1 RelayState
3.6.3.2 URL Encoding
3.6.3.3 Form Encoding
3.6.4 Artifact Format
3.6.4.1 Required Information
3.6.4.2 Format Details
3.6.5 Message Exchange
3.6.5.1 HTTP and Caching Considerations
3.6.5.2 Security Considerations
3.6.6 Error Reporting
3.6.7 Metadata Considerations
3.6.8 Example SAML Message Exchange Using HTTP Artifact

3.7 SAML URI Binding
3.7.1 Required Information
3.7.2 Protocol-Independent Aspects of the SAML URI Binding
3.7.2.1 Basic Operation
3.7.3 Security Considerations
3.7.4 MIME Encapsulation
3.7.5 Use of HTTP URIs
3.7.5.1 URI Syntax
3.7.5.2 HTTP and Caching Considerations
3.7.5.3 Security Considerations
3.7.5.4 Error Reporting
3.7.5.5 Metadata Considerations
3.7.5.6 Example SAML Message Exchange Using an HTTP URI

4 References
Appendix A. Registration of MIME media type application/samlassertion+xml
Appendix B. Acknowledgments
Appendix C. Notices

Tags: :IT国際標準, :認証基盤, :クレームベース認証, :SAML

目次 †

概要 †

Introduction †

Protocol Binding Concepts †

Notation †

Specifying Additional Protocol Bindings †

以下、詳細 †

General Considerations †

Use of RelayState? †

Security †

Use of SSL 3.0 or TLS 1 †

Data Origin Authentication †

Message Integrity †

Message Confidentiality †

Security Considerations †

HTTP Redirect Binding †

Required Information †

Overview †

RelayState? †

Message Encoding †

DEFLATE Encoding †

Message Exchange †

HTTP and Caching Considerations †

Security Considerations †

Error Reporting †

Metadata Considerations †

Example SAML Message Exchange Using HTTP Redirect †

HTTP POST Binding †

Required Information †

Overview †

RelayState? †

Message Encoding †

Message Exchange †

HTTP and Caching Considerations †

Security Considerations †

Error Reporting †

Metadata Considerations †

Example SAML Message Exchange Using HTTP POST †

参考 †