SAML可以进行授权吗？

Question

我知道SAML可以用于用户身份验证,但是用户拥有的权限级别呢？它也可以用于授权吗？如果没有,开源授权软件的最佳替代方案是什么？

Answer 1

SAML 没有明确授权。它只是在 SAML 令牌中提供属性，如何处理这些属性取决于应用程序。

WS-Federation 也是如此。

对于 OAuth2，它提供的“属性”有些限制。而且您仍然必须进行身份验证，例如 OpenID Connect。

Answer 2

这取决于特定的情况-您的应用程序，环境等。SAML是一种协议，可用于交换任何信息，包括与授权相关的“东西”。例如，在一个非常简单的基于角色的访问控制方案中，身份提供者发出的SAML声明可以包含表示为属性（或单个多值属性）的用户角色。然后，服务提供者可以提取角色，并使用它们来授权对某些资源的访问。

XACML是另一种协议，专门用于以可互操作和声明的方式处理访问控制的某些方面。它很少使用，并且比SAML流行得多。

oAuth通常用于访问授权，尤其是在使用API​​的REST世界中。

oAuth和XACML都可以与SAML共存或独立使用。