如何通过SAML SSO登录后确定授权权限

Question

首先，我没有任何使用SAML(版本2)的经验。

我被要求研究如何使现有站点（具有带有用户名和密码页面的正常登录页面）为SAML的SSO做好准备。我们可以使用一些工具来执行此操作。因此，我认为实现SSO部分并不困难。

但是，我不清楚如何管理授权。系统（网站）正在使用授权权限来确定用户是否能够访问某些部分，如果他能够访问，则确定他拥有的正确类型（查看，创建或编辑）。这些权限由系统本身的管理员分配给每个用户。当用户通过指定其凭据（不带 SAML/SSO）登录系统时，也会检索其权限。

当一个人使用SSO登录站点时，这是如何做到的？是否有IdP（身份提供者）知道的用户ID到我们系统知道的用户标识的映射？这是来自IdP的SAML响应吗？还是用另一种方式？

提前谢谢

Answer 1

SAML主要是一种身份验证协议，但解决这个问题的方法还有很多。SAML支持在断言中的Authz决策声明中发送授权信息。

另一种选择是使用XACML扩展SAML，XACML是传输Authz信息的大框架。

然而，在许多SAML提供者中，对这些的支持是有限的。

如果每个用户只有一个访问权限，那么更简单的解决方案可能也是最好的解决方案是将其作为SAML断言中的属性发送。这通常可以映射为用户属性。