什么是SAML身份验证?
安全断言标记语言(Security Assertion Markup Language, SAML)是一种开放标准,用于在服务提供者和身份提供者之间交换身份验证和授权详细信息。详细信息的交换是通过包含用户数据的数字签名XML文档完成的。Desktop Central支持SAML 2.0身份验证。通过启用此功能,用户可以通过支持SAML身份验证的单点登录(SSO)服务登录到Desktop Central。
相关术语:
服务提供者——提供特定服务的应用程序,通过SSO请求的安全断言对用户进行身份验证和授权。比如:CRM、Desktop Central等等...
身份提供者——维护和管理用户凭证的实体。比如:Okta、 OneLogin等等...
单点登录服务——由身份提供者提供的一种服务,它具有一个统一登录系统,用户只需要输入一次凭证,就可以访问其他所有服务提供者。
SSO的主要优点是它具有统一的身份验证,因此用户无需记住多个密码来访问不同的应用程序。
SAML身份验证是如何工作的?
当用户尝试登录以访问服务提供者时,用户将被重定向到SSO登录页面。输入凭证后,SSO将把信息传递给服务提供者。此外,服务提供者将根据SSO提供的身份验证和授权详细信息决定是否授予用户访问权。
前提条件:
- 因为IdP重定向是通过HTTPS端口进行的,所以HTTPS端口必须保持打开状态。ACS URL仅使用HTTPS生成。
- 身份提供者应该支持HTTP POST绑定。
- 来自身份提供者的证书不应该被篡改、加密或过期,应该使用base 64格式进行编码。
在Desktop Central和下列身份提供者之间配置SAML身份验证设置,请点击对应链接
注意:
- 在身份提供者不支持的浏览器中,SAML身份验证可能无法工作。
- 目前不支持SAML单点注销。
- 如果FQDN改变,ACS URL也会改变。这意味着应该在身份提供者中再次手动更新ACS URL。
- 在Desktop Central的SAML认证设置中,名称ID可以选择为用户名,也可以选择为电子邮件ID。应该在身份提供者中选择相同的选项来对用户进行身份验证。
- 在Desktop Central中,所有帐户都应该有一个与之关联的唯一电子邮件ID。
- 在配置身份提供者时的元数据文件,必须具有这三个参数——SSO URL、SSO签名证书;SSO绑定协议