HTTPバインディングのSAML

Question

SOAPバインディングとSAMLトークンが渡されたWebサービスがあります。そこに何か標準練習もHTTPバインディングにSAMLを適用する？代替案を提案できますか？

（希望がKVP要求と画像/ JPGのMIMEタイプを使用するので、私はHTTP-結合必要）

Answer 1

あなたはどのようにSAMLトークンを使用してHTTP要求を認証しない尋ねる場合は、一般的な答えは、「あなたはドンでありますt。 SAMLトークンを使用してサービスを認証し、http要求のCookieを渡します。少なくとも、これはエンドユーザー向けに行われる方法です。

API（REST APIなど）を使用して何かを行う場合は、類似しているがクッキーは使用しないでください。認証のためのAPI呼び出しを行い、有効なSAMLトークンを渡します。これにより、キーを作成し、これらのキーを使用してリクエスト全体に署名（HMAC）します。これは、権限ヘッダー（これを行う正しい方法です）またはパラメーターとして追加することができます。サーバはメッセージ上の署名/ HMACの有効性をチェックし、有効であればAPIコールを実行する。

Thisは、技術の長い混乱です。 ThisはMSDNの記事です。 C＃ではなく、javaではなく、Security Considerationsのセクションが直接適用されており、私はいくつかの短いグーグルで見つけた最高のものです。