SAML属性AttributeStatement

Question

をSAML 2.0で使用すると、AttributeStatement要素を使用してあらゆる種類のアプリケーション固有の情報を提供できます。

SAMLアサーション内でビジネス関連の情報を渡すのは本当に良いデザインですか？このデータは、例えば、個別のWebサービスコール？

このケースでは、ベストプラクティスまたは実際の体験をお願いしたいだけです。

よろしく、 アンドレアス

Answer 1

それはあなたが運搬しているだけで何の情報に多くを依存しています。たとえば、私が作業しているアプリケーションでは、ログオンしているユーザーにどのWebサイトの機能を表示するかを示す属性を使用します。それは明らかに適切な使用です。ここでは、同じことを行うWebサービスを持っていても、属性を使用してユーザープロファイルを作成することができます（実際は、インプリメンテーションの背後でWebサービスが呼び出されます）。それはそのようなことのための理想的な文脈ではありません。 Webサービスの応答を伝えるエンドポイントや、その試行に起因するエラーはありません。しかし、SSOコールを行う前に別のWebサービスを呼び出す必要がない顧客からは、かなりの抵抗があります。だから我々は妥協しなければならなかった。私たちが行ったことは、顧客がこの特定の機能を使用したい場合、エンドポイント（電子メールアドレスまたはWebページ）を提供してWebサービスコールからエラーを受け取る必要があることです。また、情報の安全性が懸念される場合は、標準のXML暗号化を使用できます。