Если токен SAML является паспортом, то какой токен-носитель OAuth?

Question

SAML - это то же самое, что и при обращении с паспортом. Сначала вы подаете заявку на получение паспорта (удостоверение личности) в своей стране (основной поставщик ИДП). В вашей стране есть местные правила о том, как вы получаете этот паспорт (токен SAML). Как только вы получите свой паспорт (токен SAML), вы являетесь гражданином вашей страны, прошедшим проверку подлинности. Затем вы можете отправиться в любую другую страну мира. Большинство стран признают не только паспорт для принятия. Некоторые страны, которые вы посещаете, принимают ваш паспорт так же, как и основное утверждение SAML. Другие страны нуждаются в дополнительной информации при их принятии, например, в паспорте и в визе, что является более сложным принятием утверждения SAML. Существует стандартизованный подход к принятию аутентификации того, кто вы, что приводит к дизайну представления утверждения SAML. Когда вы будете приняты в другую страну, вам не нужно управлять своим паспортом. Вы по-прежнему обязаны иметь с собой паспорт. То же самое, что и утверждение SAML, это принятое количество пользовательских атрибутов или прав.

Я пытаюсь понять OAuth, используя эту метафору. Если токен SAML является паспортом, то какой токен-маркер OAuth?

Answer 1

Недавно я пытался из метафоры Бара Writstband для маркеров OAuth Носителя ...

Простого сценария: Токен в качестве прокси для сеанса авторизации Вы представляете лицензию (грант типа) ваш водителя который подтверждается вышибалой спереди. Как только он уверен, что это не подделка или кража, и что у вас есть законный возраст для питья (разрешен), он дает вам браслет, чтобы носить эту ночь для доступа в бар. Завтра вечером вам понадобится другой браслет.

Расширенная Сценарий: Лексемы с ограничениями Scope, а Бар обслуживает всех возрастов, поэтому после принятия учетных данных вы получаете браслет, который указывает, если вы можете заказать алкоголь или только содовую. Действительно классный бар может позволить вам носить браслет «назначенного водителя», и вы получаете бесплатные безалкогольные напитки всю ночь.

В обоих случаях вам нужно только один раз получить удостоверение, чтобы получить браслет. После этого ваш доступ к бару предоставляется, потому что вы несете браслет.

Answer 2

Целью OAuth является «делегирование полномочий» (которое отличается от аутентификации), а каноническое сравнение OAuth - это valet key.

Valet ключи обычно можно открыть дверь водителя и начать машину, но не может открыть багажник или бардачок. Этот ключ обычно используется, когда кто-то другой управляет вашим автомобилем, например, услуга парковки автомобилей служащим отеля .

Это относится к тому факту, что маркер с ограниченным доступом может быть выдан стороннему лицу, так что теперь сторонняя сторона может получить доступ к ресурсам от имени так называемого владельца ресурсов.

FWIW: сравнение SAML с паспортом не совсем корректно, поскольку токены SAML также привязаны к определенному поставщику услуг (страна в вашем примере).