CISSP考点拾遗——联邦身份之联邦模型

说明：“考点拾遗”系列基于日常为学员和网友做的答疑整理，主要涉及教材中没有完全覆盖到的知识点。

一、联邦成员：

提供身份验证服务的IdP和使用这些服务的RP被称为联邦成员。

IdP(Identity Provider，身份提供商)：

管理订户(subscriber)的主要身份验证凭据，并发布从这些凭据派生的断言的一方，也叫做CSP(credential service providers，凭据服务提供商)。

RP (Relying Party，依赖方)：

依赖于IdP对订户身份的断言，为订户提供业务服务的一方，也叫做SP(service provider，服务提供商)

从IdP的角度来看，联邦由它所服务的RPs组成。

从RP的角度来看，联邦由它所使用IdPs组成。

二、联邦模型：

根据NIST SP 800-63c，联邦成员建立关系的模型有4种：手动注册(Manual Registration)、动态注册(Dynamic Registration)、联邦权威(Federation Authorities)、代理式联邦(Proxied Federation)。

1、手动注册(Manual Registration)

在手动注册模式中，IdP和RP手动配置希望互操作的各方的配置信息。

如下图，手动注册包括三个步骤：

1. RP的系统管理员与IdP的系统管理员共享RP的属性，后者将这些属性与RP相关联。

2. IdP的系统管理员与RP的系统管理员共享IdP的属性，RP的系统管理员将这些属性与IdP相关联。

3. IdP和RP使用标准的联邦协议进行通信。

2、动态注册(Dynamic Registration)

动态注册模型中的各方通常事先并不了解彼此，联邦成员之间的关系可以在事务处理时进行协商。

如下图，动态注册包括以下步骤：

1. 发现。RP到IdP的一个众所周知的位置去寻找IdP的元数据。

2. 验证。RP和IdP确定彼此的有效性。这可以通过键入信息、元数据、软件

   声明或其他方式来实现。

3. 注册RP属性。RP将其属性发送给IdP，IdP将这些属性与RP相关联。

4. 联邦协议。IdP和RP使用标准的联邦协议进行通信。

3、联邦权威(Federation Authorities)

联邦成员遵从被称为联邦权威(Federation Authorities)的机构来帮助做出联邦决定并建立各方之间的工作关系。在该模型中，联邦权威通常对联邦中的每一方进行某种级别的审查(vetting)，以验证是否符合预定的安全性和完整性标准。

联邦权威可以协助成员之间的技术连接和配置过程，例如公布IdPs的配置数据，或发布RP的软件声明。

4、代理式联邦(Proxied Federation)

在代理式联邦模型中，IdP和RP之间的通信是以阻止双方直接通信的方式进行的。有多种方法可以达到这种效果。常见配置包括:

• 充当联邦代理(proxy，也作broker)的第三方，

• 分发通信的节点网络

下图是使用代理的情况，代理一方面充当IdP，另一方面充当RP。所以适用于IdP和RP的所有规范性要求也必然适用于其各自角色的代理人。

代理式联邦模型有几项关键的优势：

1. 联邦代理可以通过提供一个通用的集成接口来简化RP和IdP之间的技术集成；

2. 代理有效地使RP和IdP彼此不可见，在某种程度上提供了商业保密性，当联邦成员希望保护订户列表，不受彼此影响的情况下，代理模型是理想的选择；

3. 类似的，代理还可以减轻隐私风险。