SAML 提供者解析：IdP 與 SP 的角色與責任

SAML 提供者解析：IdP 與 SP 的角色與責任

在員工、合作夥伴與客戶都同時使用數十個應用的世界裡，記住密碼只是 IT 問題中最小的一部分。企業真正面對的挑戰，是如何在內部系統、SaaS 平台與合作方服務之間，維持安全、順暢且可管理的存取體驗。

SAML 透過單一登入（SSO）簡化了這件事，讓使用者驗證一次就能在多個應用間順暢切換。

其核心有兩個角色：Identity Provider（IdP）負責驗證使用者身分；Service Provider（SP）依據受信任的 assertion 授予存取。SSO 的安全性與效率，取決於這兩者之間的信任與協作。

本文將說明 IdP 與 SP 如何運作、各自責任，以及如何以最佳實務導入 SAML，打造安全且可擴展的企業驗證架構。

What Are SAML Providers?

在 SAML 驗證中，provider 指的是參與聯邦身分交換的系統。provider 之間不直接共享憑證，而是交換標準化訊息來聲明驗證結果。

這種 provider 架構可降低憑證暴露風險、集中政策治理，並讓組織安全地把驗證能力擴展到大量應用。

SAML 定義兩種主要 provider 角色：

• Identity Provider（IdP）：負責驗證使用者並簽發 assertion
• Service Provider（SP）：負責接收 assertion 並授予存取

每個角色都有清楚責任邊界，而安全性仰賴這些邊界被嚴格遵守。

SAML: A Brief Overview

SAML 是一個基於 XML 的開放標準，用於在受信任系統之間交換驗證與授權資訊。它最常見於企業 SSO 與跨網域身分聯邦。

應用不再直接處理使用者驗證，而是信任由身份權威簽發的 assertion。這種模型可減少重複驗證邏輯，也降低密碼處理風險。

SAML 2.0 定義了幾個關鍵構成：

• 驗證與屬性 assertion
• 用於請求與傳遞 assertion 的協定
• 定義訊息傳輸方式的 binding
• 建立信任所需的 metadata 格式

雖然 XML 成分較重，SAML 仍因成熟度與企業深度支援而被廣泛採用。

Identity Provider (IdP): Role and Responsibilities

Identity Provider（IdP）是負責驗證使用者身分的權威系統。它驗證使用者後，簽發其他系統可信任的加密簽章 assertion。

在治理層面上，IdP 是驗證控制的中樞。它執行安全政策、管理身分生命週期，並提供跨應用的稽核可見性。

Core Responsibilities of an IdP

IdP 通常負責：

• 以核准機制驗證使用者
• 管理身分生命週期與屬性
• 簽發已簽章的 SAML assertion
• 執行驗證保證等級
• 支援合規與稽核需求

由於驗證集中化，像是啟用 MFA 這類安全策略調整可全域套用，不必逐一修改每個應用。

Authentication Methods and Flexibility

SAML 刻意不規定驗證必須如何進行。這讓 IdP 能隨時間演進驗證策略。

常見驗證方法包含：

• 密碼登入
• 多因子驗證（MFA）
• 憑證或智慧卡驗證
• 無密碼與生物辨識驗證

無論底層方法為何，SP 都依賴 IdP 所提供的保證，確認驗證符合既定安全要求。

Assertion Creation and Signing

使用者成功驗證後，IdP 會產生包含身分與驗證資訊的 SAML assertion。

assertion 通常包括：

• 唯一 subject 識別值
• 驗證脈絡與時間戳
• 有效與過期條件
• 選用屬性（如 Email、角色、群組）

assertion 會以 IdP 私鑰簽章，確保完整性與不可否認性。

Service Provider (SP): Role and Responsibilities

Service Provider（SP）是使用者要存取的應用或服務。它不直接處理憑證，而是把驗證委派給受信任 IdP。這可簡化應用安全，並降低在本地儲存或處理憑證的風險。

Core Responsibilities of an SP

SP 負責：

• 偵測未驗證存取請求
• 導向使用者到 IdP 驗證
• 接收並驗證 SAML assertion
• 建立本地應用 session
• 執行授權政策

SP 必須實作嚴格驗證邏輯，確保只接受合法 assertion。

Assertion Validation Requirements

在授權前，SP 必須驗證下列條件：

• assertion 簽章有效
• issuer 與受信任 IdP 一致
• audience restriction 與 SP 相符
• assertion 尚未過期
• 已啟用重放保護

漏掉任一檢查都會破壞 SAML 信任模型。

Authorization and Attribute Usage

驗證回答「你是誰」，授權回答「你能做什麼」。SP 常用 SAML 屬性控制存取，例如：

• 角色型權限
• 群組或部門成員資格
• 租戶或組織識別值

這種做法可在集中驗證的同時，保留應用層授權彈性。

How IdPs and SPs Work Together in a SAML Flow

SAML provider 互動遵循結構化驗證流程。雖然綁定方式與細節可不同，但邏輯順序一致。

此流程讓多個 SP 可共享同一個已驗證 IdP session，達成 SSO。

Typical SP-Initiated Authentication Flow

標準 SP-initiated 流程如下：

1. 使用者存取 SP 受保護資源
2. SP 將使用者導向 IdP 並附上驗證請求
3. IdP 驗證使用者
4. IdP 簽發已簽章 SAML assertion
5. SP 驗證 assertion 並授予存取

此模型具備較強請求驗證能力，通常是高安全場景的首選。

IdP-Initiated vs SP-Initiated SSO

SAML 支援兩種主要 SSO 啟動模型：IdP-initiated 與 SP-initiated，各有優勢與注意事項。在 SP-initiated 模式中，使用者先嘗試存取 SP，再由 SP 轉送驗證請求到 IdP。

這種方式讓 SP 能執行更嚴格的驗證、audience 限制與 session 控制，因此更適合外部導向或安全敏感應用。

相對地，IdP-initiated SSO 從 IdP 開始，使用者登入後選擇要進入的應用。此模式在體驗上較便利，但需更嚴謹避免 assertion 濫用或重放攻擊。組織應在易用性與安全需求間取得平衡。

Trust Relationships and Metadata Exchange

SAML 依賴透過設定建立的明確信任關係，不存在動態信任探索。

metadata 交換可標準化 provider 之間的設定與密碼學材料共享方式。

SAML Metadata Explained

metadata 文件通常包含：

• entity 識別值
• assertion consumer 與 SSO endpoints
• 支援的 bindings
• 公開簽章與加密金鑰

使用 metadata 可降低設定錯誤並提升互通性。

Certificate Lifecycle Management

憑證是 SAML 安全的核心，用於簽章與驗簽 assertion。

最佳實務包含：

• 追蹤憑證到期日
• 到期前主動輪替憑證
• 輪替期間支援憑證重疊
• 立即移除棄用金鑰

憑證管理不佳是 SAML 服務中斷的常見原因。

Common SAML Misconfigurations and Pitfalls

即使 SAML 已相當成熟，正式環境仍常見設定錯誤。這些問題多半來自錯誤假設或驗證不完整。常見陷阱包括：

• 接受未簽章 assertion
• 跳過 audience restriction 檢查
• 設定過長 assertion 時效
• 在 assertion 放入過多敏感資料
• 未定期輪替憑證

定期稽核與測試是維持安全整合的必要條件。

Real-World Enterprise Use Cases

在需要集中身分管理、高安全與無縫互通的企業環境中，SAML provider 扮演關鍵角色。以下情境說明 SAML 在企業中的實際應用。

Employee Access to SaaS Platforms

現代企業依賴大量 SaaS 進行協作、人資、財務與營運。若每個服務都分別管理帳密，既繁瑣又增加風險。透過 SAML SSO，員工可在集中 IdP 驗證一次後，安全存取所有授權 SaaS。

Partner and Vendor Federation

許多組織需讓外部夥伴、供應商或承包商存取內部系統。SAML 可實作安全聯邦，讓外部使用者透過自己的 IdP 驗證，而不需維護獨立帳號。

這可降低管理負擔、避免憑證擴散，並在合作終止時更有效撤銷存取，同時維持清楚安全邊界。

B2B Customer Portals

對 B2B 企業而言，客戶入口常需要支援已具企業身分系統的使用者。SAML 讓組織能做驗證聯邦，讓客戶直接以既有企業憑證登入。

Legacy Application Integration

許多組織仍依賴未按現代驗證標準設計的舊系統。SAML 提供橋接能力，把這些應用納入集中 SSO。透過 SAML adapter 或 gateway，企業可在不高成本重寫的前提下提升安全、簡化存取並延長舊系統壽命。

SAML vs OIDC: Understanding the Context

儘管 OpenID Connect（OIDC）等新協定日益普及，SAML 在企業場景仍深度扎根。

SAML 特別擅長：

• 企業聯邦
• B2B SSO
• 舊系統相容

OIDC 通常更適合現代 Web 與行動應用。許多組織會同時支援兩者，各取所長。

Designing a Scalable SAML Architecture

有效的 SAML 架構不只是在系統間打通連線，更需要前期規劃。關鍵考量包含：

• 集中式 IdP 策略
• 屬性標準化
• 憑證生命週期自動化
• 監控與日誌
• 遷移至新協定的路徑

周延設計可降低營運負擔，並提升長期安全性。

Bottom Line

SAML provider 是企業身分系統的基礎元件。IdP 負責驗證使用者並簽發可信 assertion；SP 依據 assertion 授權存取，而不需直接處理憑證。

這種清楚分工可提升安全、簡化應用開發，並讓複雜環境中的 SSO 更可擴展。

像 Authgear 這類平台能開箱協助處理 IdP/SP 角色、assertion 驗證、憑證管理與安全最佳實務，讓開發與安全團隊把精力放在建置與擴展應用，而非被身分協定細節拖慢。

立即探索 Authgear，簡化 SAML 整合、落實企業級安全，並為所有應用啟用順暢 SSO。

FAQs

IdP 與 SP 的主要差異是什麼？

IdP 負責驗證使用者並簽發 assertion；SP 依賴 assertion 來控制存取。

一個系統可以同時扮演 IdP 與 SP 嗎？

可以。有些平台會先作為 SP 消費外部身分，再作為 IdP 對下游服務提供身分。

SAML 現在還重要嗎？

是。SAML 在企業與 B2B 場景仍被廣泛使用，特別是需要聯邦與舊系統整合時。

SAML 支援現代驗證方法嗎？

支援。SAML 允許 IdP 導入 MFA、生物辨識與無密碼驗證，而無需變更 SP。