Was ist SAML?

Die Security Assertion Markup Language (SAML) ist ein offener, XML-basierter Standard für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen einem Identitätsanbieter und einem Dienstanbieter. Sie ermöglicht es einem Benutzer, sich einmal zu authentifizieren und anschließend auf mehrere Anwendungen zuzugreifen, ohne seine Anmeldedaten erneut eingeben zu müssen – dies ist der Mechanismus, der den meisten webbasierten Single-Sign-On-Lösungen in Unternehmen zugrunde liegt.

Die wichtigsten Erkenntnisse

• Über SAML werden signierte XML-Assertions zwischen einem Identitätsanbieter und Dienstanbietern ausgetauscht.
• Es ermöglicht Single Sign-On: Einmal authentifizieren, auf viele Anwendungen zugreifen.
• Okta, Microsoft Entra ID, ADFS und OneLogin sind gängige Identitätsanbieter.
• Ein SSE-Gateway von „ Versa “ fungiert als Dienstanbieter, der durch eine SP-Entitäts-ID identifiziert wird.
• SAML kann zur Erhöhung der Sicherheit mit Geräte- oder Benutzerzertifikaten kombiniert werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SAML & Versa · Häufig gestellte Fragen

Warum ist SAML wichtig?

Bevor es Standards für föderierte Identitäten gab, verwaltete jede Anwendung ihren eigenen Passwortspeicher, sodass sich die Benutzer bei jeder Anwendung separat authentifizieren mussten. SAML hat dieses Problem gelöst, indem es einem vertrauenswürdigen Identitätsanbieter ermöglicht, die Identität eines Benutzers gegenüber einer beliebigen Anzahl von Dienstanbietern zu bestätigen, sodass eine einzige Anmeldung ausreicht, um ohne weitere Aufforderung auf Salesforce, Microsoft 365, Slack oder ein privates Anwendungsgateway zuzugreifen.

Dieser zentrale Authentifizierungspunkt ist zugleich ein zentraler Kontrollpunkt. Wird ein Benutzer beim Identitätsanbieter deaktiviert – beispielsweise wenn jemand das Unternehmen verlässt oder Zugangsdaten kompromittiert wurden –, wird sein Zugriff überall gleichzeitig widerrufen, anstatt dass ein Administrator jede einzelne Anwendung einzeln durchgehen muss. Da SAML offen und herstellerunabhängig ist, können Unternehmen Identitätsanbieter (IdPs) und Dienstanbieter (SPs) unabhängig voneinander auswählen und darauf vertrauen, dass diese miteinander kompatibel sind – weshalb SAML nach wie vor der Standard für Web-SSO in Unternehmen ist.

Was ist SAML?

An einem SAML-Austausch sind zwei Rollen beteiligt. Der Identitätsanbieter (IdP) – Okta, Microsoft Entra ID, ADFS oder Ping Identity – authentifiziert den Benutzer, in der Regel mithilfe eines Passworts und einer Multi-Faktor-Authentifizierung, und verwaltet die verbindlichen Daten zur Identität des Benutzers. Der Dienstanbieter (SP) ist die Anwendung oder das Gateway, auf die bzw. das der Benutzer zugreifen möchte; er vertraut den vom IdP ausgestellten Bestätigungen, anstatt den Benutzer selbst zu authentifizieren.

Wenn ein Benutzer versucht, auf eine geschützte Ressource zuzugreifen, leitet der SP ihn zum IdP weiter. Nach der Authentifizierung des Benutzers sendet der IdP eine SAML-Assertion zurück: ein signiertes XML-Dokument, das die Identität des Benutzers (die NameID) sowie Attribute wie E-Mail-Adresse, Rolle oder Gruppenmitgliedschaft enthält. Der SP überprüft die Signatur und baut, sofern diese gültig ist, eine Sitzung auf und wendet die entsprechende Zugriffsrichtlinie an.

Arten von SAML

Es gibt zwei Initiierungsmuster. Das vom Dienstanbieter (SP) initiierte SSO beginnt, wenn der Benutzer versucht, den Dienstanbieter zu erreichen; der SP leitet ihn zum Identitätsanbieter (IdP) weiter, der ihn authentifiziert und die Assertion zurücksendet. Das vom Identitätsanbieter (IdP) initiierte SSO beginnt über das Anwendungsportal des Identitätsanbieters – der Benutzer wählt die App aus, und die Assertion wird ohne anfängliche Weiterleitung an den SP übermittelt.

Der Austausch stützt sich zudem auf einige feste Komponenten: die SP-Entitäts-ID (eine URI zur Identifizierung des Dienstanbieters), die URL des Assertion Consumer Service (ACS) (wo der IdP die Assertion übermittelt) sowie Attributangaben (Rollen-, Organisations- und Gruppen-Claims, die für die Autorisierung verwendet werden). Gruppenattributangaben ermöglichen es einem SP, die Gruppenmitgliedschaft vom IdP zu importieren, sodass Richtlinien auf IdP-Gruppen statt auf eine separate Benutzerliste abzielen.

SAML & Versa

Ein SSE-Gateway von Versa fungiert als SAML-Dienstanbieter. Administratoren erstellen unter „Konfigurieren“ > „Security Service Edge“ > „Benutzer- und Geräteauthentifizierung“ > „Profile“ ein SAML-Authentifizierungsprofil, wobei sie eine Voreinstellung für den Identitätsanbieter – Okta, Microsoft Entra ID oder einen generischen SAML-IdP – und geben die Single-Sign-On-URL, die Entitäts-IDs von SP und IdP sowie das Signaturzertifikat des IdP ein. Diese Werte werden vom IdP-Portal bei der Einrichtung angezeigt, wie unter „Konfigurieren von Authentifizierungsprofilen auf dem SSE-Gateway“ beschrieben. Das Profil kann auf einzelne Benutzer oder IdP-Gruppen beschränkt werden, sodass eine „Secure Access“-Regel Richtlinien – wie z. B. „Internet Protection“ oder „Private App Protection“ – anhand der Gruppenmitgliedschaft in der Assertion durchsetzen kann.

Sobald die Regel veröffentlicht und auf eine „Secure Access Client“-Regel angewendet wurde, leitet das Gateway Anmeldungen an den konfigurierten IdP weiter, überprüft die zurückgesendete Assertion und baut bei Erfolg die Sitzung auf. Ereignisse werden in Concerto unter „Ansicht“ > „Dashboard“ > „Secure Access“ > „Protokolle“ > „Authentifizierung“ > „Ereignisse“ protokolliert. SAML kann gemäß der Schritt-für-Schritt-Konfigurationsanleitung mit einer Zertifikatsauthentifizierung kombiniert werden, um eine Überprüfung im Zero-Trust-Stil zu ermöglichen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen der SAML- und der LDAP-Authentifizierung?

Bei LDAP fragt das „ Versa “-Gateway einen Verzeichnisserver direkt nach Anmeldedaten und Gruppenattributen ab. Bei SAML hingegen wird der Benutzer zu einem externen Identitätsanbieter weitergeleitet, der ihn authentifiziert und eine signierte Assertion zurückgibt.

Was ist eine SAML-Assertion?

Ein signiertes XML-Dokument, das der Identitätsanbieter nach der Authentifizierung eines Benutzers ausstellt. Es enthält die Identität des Benutzers (NameID) und kann Attribute wie beispielsweise Rollen oder Gruppenmitgliedschaften enthalten, die der Dienstanbieter für die Zugriffsrichtlinie verwendet.

Lässt sich SAML mit der zertifikatsbasierten Authentifizierung kombinieren?

Ja. Ein SSE-Gateway von Versa kann vor oder parallel zur SAML-Anmeldung eine Überprüfung von Geräte- oder Benutzerzertifikaten verlangen, sodass sowohl der Endpunkt als auch die Identität des Benutzers überprüft werden – dies ist in regulierten Umgebungen und Zero-Trust-Umgebungen üblich.

Was ist der Unterschied zwischen einem vom SP-initiierten und einem vom IdP-initiierten SSO?

Das vom Dienstanbieter (SP) initiierte SSO beginnt, wenn ein Benutzer versucht, den Dienstanbieter aufzurufen, der ihn zur Authentifizierung weiterleitet. Das vom Identitätsanbieter (IdP) initiierte SSO beginnt auf dem App-Portal des Identitätsanbieters, wo der Benutzer die Anwendung auswählt und die Assertion direkt an den Dienstanbieter (SP) übermittelt wird.

Welche Identitätsanbieter sind mit der SAML-Implementierung von Versakompatibel?

Versa SSE-Gateways unterstützen Okta, Microsoft Entra ID und andere standardkonforme SAML 2.0-Identitätsanbieter – entweder über spezielle Voreinstellungen oder über ein generisches Profil, das die Entitäts-ID, die SSO-URL und das Zertifikat jedes beliebigen Identitätsanbieters akzeptiert.

Mehr zu SAML

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit SAML beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.