Che cos'è SAML?

Il protocollo SAML include i seguenti componenti:

• I provider di identità che autenticano e autorizzano gli utenti. Forniscono la pagina di accesso su cui le persone inseriscono le proprie credenziali e applicano criteri di sicurezza, come la richiesta dell'autenticazione a più fattori o la reimpostazione della password. Una volta che un utente viene autorizzato, i provider di identità trasmettono i dati ai provider di servizi.
• I provider di servizi, ovvero le app e i siti web a cui le persone desiderano accedere. Anziché richiedere alle persone di accedere a ogni singola app, i provider di servizi abilitano le proprie soluzioni all'uso dell'autorizzazione SAML e si affidano a provider di identità per verificare queste ultime e ad autorizzare l'accesso.
• I metadati descrivono la modalità con cui i provider di identità e i provider di servizi scambiano le asserzioni, inclusi gli endpoint e la tecnologia.
• L'asserzione rappresenta i dati che confermano al provider di servizi il completamento dell'autenticazione della persona che effettua l'accesso.
• I certificati di firma garantiscono la fiducia tra il provider di identità e il provider di servizi confermando che l'asserzione non è stata manipolata durante la trasmissione tra i due provider.
• Il clock di sistema conferma lo stesso orario sia per il provider di servizi che per il provider di identità in modo da proteggere contro gli attacchi playback.

Il protocollo SAML offre i seguenti vantaggi alle organizzazioni, ai propri dipendenti e partner:

• Esperienza utente migliore. Il protocollo SAML consente alle organizzazioni di abilitare la procedura Single Sign-On in modo che dipendenti e partner possano effettuare il login solo una volta e accedere a tutte le proprie app. Ciò facilita il lavoro e lo rende più pratico poiché occorre ricordare meno password. Inoltre, i dipendenti non devono effettuare l'accesso ogni volta che cambiano dispositivo.
• Maggiore sicurezza. Un numero minore di password riduce il rischio di compromissione degli account. In più, i team di sicurezza possono utilizzare il protocollo SAML per applicare criteri di sicurezza a tutte le proprie app. Ad esempio, possono richiedere l'autenticazione a più fattori per effettuare l'accesso o applicare criteri di accesso condizionale per definire le app e i dati a cui le persone possono accedere.
• Gestione unificata. L'uso del protocollo SAML consente ai tecnici di gestire i criteri di identità e sicurezza in una singola soluzione piuttosto che utilizzare console di gestione separate per ciascuna app. Ciò semplifica notevolmente il provisioning degli utenti.

SAML è una tecnologia standard open-source basata su XML che consente ai provider di identità, come Microsoft Entra ID di trasmettere i dati di autenticazione a un provider di servizi, come un'app SaaS.

Il servizio Single Sign-On viene utilizzato quando le persone effettuano il login una sola volta e ottengono l'accesso a vari siti web e app. SAML abilita il servizio Single Sign-On, ma è possibile implementare quest'ultimo con altre tecnologie.

LDAP (Lightweight Directory Access Protocol) è un protocollo di gestione delle identità utilizzato per l'autenticazione e l'autorizzazione delle identità degli utenti. Molti provider di servizi supportano LDAP, quindi potrebbe essere una buona soluzione per il servizio Single Sign-On. Tuttavia, trattandosi di una tecnologia obsoleta, non funziona con le applicazioni Web.

SAML è una tecnologia più recente, pertanto è disponibile sulla maggior parte delle applicazioni web e cloud, aspetto che la rende la soluzione più comune per la gestione centralizzata delle identità.

L'autenticazione a più fattori è una misura di sicurezza che richiede alle persone di utilizzare più di un fattore per verificare la propria identità. In genere, implica l'uso di un oggetto posseduto dalla persona, come un dispositivo, e di un'informazione nota a quest'ultima, come una password o un PIN. Il protocollo SAML consente ai tecnici di applicare l'autenticazione a più fattori a più siti web e app. Possono scegliere di applicare questo livello di autenticazione a tutte le app integrate in SAML o solo ad alcune.