11、企业级安全：级联授权与联合认证深度解析

企业级安全：级联授权与联合认证深度解析

1. 级联授权概述

级联授权是为一系列服务提供访问和权限信息的过程，它基于以下假设：
- 基于用户的请求 ：企业内的服务请求，是用户向服务提供商发出的隐含请求，要求服务提供商代表用户执行其力所能及的操作以满足请求。同时，声明/属性的定义要足够精细，以在整个过程中表明访问权限。
- 基于服务的请求 ：企业内的服务请求，是向下游服务提供商发出的明确请求，要求服务提供商代表服务请求者执行其力所能及的操作以满足请求。同样，声明/属性的定义要足够精细，且非聚合服务是原子性的。
- 其他 ：在相关示例中，仅考虑 OSI 层 5 及以上的 Web 服务调用，OSI 栈中低于层 5 的调用不由 SAML 授权进行，也不遵循此模式。

2. 基本用例与标准通信

基本用例涉及初始请求者调用聚合服务，聚合服务再调用其他聚合服务和普通服务。每个通信链路都使用为每个活动实体提供的 X.509 证书进行端到端认证。属性和最小权限由 STS 对 SAML 令牌的修改来处理，这些修改需要由 STS 确保真实性和完整性。初始请求者 A 到聚合服务 B 的 SAML 令牌按常规流程获取，部分表示如下表所示：
| Item | Field Usage | Notes |
| — | — | — |
| SAML Response | Version ID | Version 2.0 |
| | ID | (uniquely assigned) |
| | Issue instant |