SAML 2.0 仕様まとめ

OASIS Security Assertion Markup Language (SAML) 2.0 に基づく要点整理。

概要

SAML（Security Assertion Markup Language）は、XMLベースの認証・認可データ交換標準。

異なるセキュリティドメイン間で、ユーザーの認証情報や属性情報を安全にやり取りするためのフレームワーク。主にエンタープライズ環境でのSSO（シングルサインオン）に使用される。

OAuth/OIDCとの比較

主要な用語

SAMLの4つの構成要素

SAMLは階層的な設計で構成される。

flowchart TB
    subgraph Profiles["Profiles（ユースケース定義）"]
        P1[Web Browser SSO]
        P2[Single Logout]
        P3[ECP]
    end

    subgraph Bindings["Bindings（通信方法）"]
        B1[HTTP Redirect]
        B2[HTTP POST]
        B3[SOAP]
        B4[Artifact]
    end

    subgraph Protocols["Protocols（メッセージ交換）"]
        Pr1[AuthnRequest]
        Pr2[Response]
        Pr3[LogoutRequest]
    end

    subgraph Assertions["Assertions（セキュリティ情報）"]
        A1[AuthnStatement]
        A2[AttributeStatement]
        A3[AuthzDecisionStatement]
    end

    Profiles --> Bindings --> Protocols --> Assertions

1. Assertions（アサーション）

主体に関するセキュリティ情報を含むXMLドキュメント。

2. Protocols（プロトコル）

リクエスト/レスポンス形式のメッセージセット。

3. Bindings（バインディング）

SAMLメッセージを下位層プロトコル上で転送する方法。

4. Profiles（プロファイル）

特定のユースケースでAssertions、Protocols、Bindingsを組み合わせたもの。

Assertion（アサーション）

構造

<saml:Assertion Version="2.0"
    ID="_abc123"
    IssueInstant="2024-01-15T10:00:00Z">

    <saml:Issuer>https://idp.example.com</saml:Issuer>

    <saml:Subject>
        <saml:NameID>user@example.com</saml:NameID>
        <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
            <saml:SubjectConfirmationData
                NotOnOrAfter="2024-01-15T10:05:00Z"
                Recipient="https://sp.example.com/acs"/>
        </saml:SubjectConfirmation>
    </saml:Subject>

    <saml:Conditions NotBefore="..." NotOnOrAfter="...">
        <saml:AudienceRestriction>
            <saml:Audience>https://sp.example.com</saml:Audience>
        </saml:AudienceRestriction>
    </saml:Conditions>

    <saml:AuthnStatement AuthnInstant="2024-01-15T09:59:00Z">
        ...
    </saml:AuthnStatement>

    <saml:AttributeStatement>
        ...
    </saml:AttributeStatement>

</saml:Assertion>

3種類のStatement

SubjectConfirmation Method

Assertionの有効性を確認する方法。

Protocols（プロトコル）

主要なプロトコル

AuthnRequest（認証リクエスト）

<samlp:AuthnRequest
    ID="_req123"
    Version="2.0"
    IssueInstant="2024-01-15T10:00:00Z"
    Destination="https://idp.example.com/sso"
    AssertionConsumerServiceURL="https://sp.example.com/acs"
    ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST">

    <saml:Issuer>https://sp.example.com</saml:Issuer>

    <samlp:NameIDPolicy
        Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
        AllowCreate="true"/>

</samlp:AuthnRequest>

Response（認証レスポンス）

<samlp:Response
    ID="_res456"
    Version="2.0"
    IssueInstant="2024-01-15T10:00:05Z"
    Destination="https://sp.example.com/acs"
    InResponseTo="_req123">

    <saml:Issuer>https://idp.example.com</saml:Issuer>

    <samlp:Status>
        <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
    </samlp:Status>

    <saml:Assertion>
        <!-- Assertion内容 -->
    </saml:Assertion>

</samlp:Response>

Bindings（バインディング）

SAMLメッセージを転送する方法。

HTTP Redirect Binding

https://idp.example.com/sso?
    SAMLRequest=fZJNT8MwDIbv...（DEFLATE + Base64）
    &RelayState=token
    &SigAlg=...
    &Signature=...

HTTP POST Binding

<form method="post" action="https://sp.example.com/acs">
    <input type="hidden" name="SAMLResponse" value="PHNhbW...（Base64）"/>
    <input type="hidden" name="RelayState" value="token"/>
    <input type="submit" value="Submit"/>
</form>

Profiles（プロファイル）

Web Browser SSO Profile

最も一般的なプロファイル。2つのフローがある。

SP-Initiated SSO（SPから開始）

sequenceDiagram
    participant U as User
    participant SP as Service Provider
    participant IdP as Identity Provider

    U->>SP: (1) 保護リソースにアクセス
    SP-->>U: (2) IdPへリダイレクト<br/>(AuthnRequest)
    U->>IdP: (3) AuthnRequest送信
    IdP->>U: (4) ログイン画面表示
    U-->>IdP: (5) 認証情報入力
    IdP-->>U: (6) SPへリダイレクト<br/>(Response + Assertion)
    U->>SP: (7) Response送信
    Note over SP: (8) 署名検証・Assertion処理
    SP-->>U: (9) リソースへのアクセス許可

特徴: ユーザーがまずSPにアクセスし、IdPへ認証を依頼するフロー。

IdP-Initiated SSO（IdPから開始）

sequenceDiagram
    participant U as User
    participant IdP as Identity Provider
    participant SP as Service Provider

    U->>IdP: (1) IdPにログイン済み
    U->>IdP: (2) SPへのリンクをクリック
    IdP-->>U: (3) SPへリダイレクト<br/>(Response + Assertion)
    U->>SP: (4) Response送信
    Note over SP: (5) 署名検証・Assertion処理
    SP-->>U: (6) リソースへのアクセス許可

特徴: ユーザーが先にIdPにログインし、そこからSPにアクセスするフロー。AuthnRequestが不要。

Single Logout Profile

sequenceDiagram
    participant U as User
    participant SP1 as Service Provider 1
    participant IdP as Identity Provider
    participant SP2 as Service Provider 2

    U->>SP1: (1) ログアウト要求
    SP1->>IdP: (2) LogoutRequest
    IdP->>SP2: (3) LogoutRequest
    SP2-->>IdP: (4) LogoutResponse
    IdP-->>SP1: (5) LogoutResponse
    SP1-->>U: (6) ログアウト完了

Binding × Profile の組み合わせ

Web Browser SSO Profileで使用可能な組み合わせ：

メタデータ

IdPとSPの設定情報を記述するXMLドキュメント。

IdPメタデータ例

<EntityDescriptor entityID="https://idp.example.com">
    <IDPSSODescriptor>
        <KeyDescriptor use="signing">
            <ds:KeyInfo>...</ds:KeyInfo>
        </KeyDescriptor>
        <SingleSignOnService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
            Location="https://idp.example.com/sso"/>
        <SingleLogoutService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://idp.example.com/slo"/>
    </IDPSSODescriptor>
</EntityDescriptor>

SPメタデータ例

<EntityDescriptor entityID="https://sp.example.com">
    <SPSSODescriptor>
        <KeyDescriptor use="signing">
            <ds:KeyInfo>...</ds:KeyInfo>
        </KeyDescriptor>
        <AssertionConsumerService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://sp.example.com/acs"
            index="0"/>
        <SingleLogoutService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://sp.example.com/slo"/>
    </SPSSODescriptor>
</EntityDescriptor>

メタデータに含まれる情報

セキュリティ考慮事項

署名と暗号化

TLS要件

主要な脅威と対策

Assertion検証チェックリスト

NameID Format

ユーザー識別子の形式。

プライバシー考慮

エラーハンドリング

Status Code

第2レベルStatus Code

参考資料

• SAML 2.0 Technical Overview
• SAML 2.0 Core Specification
• SAML 2.0 Bindings
• SAML 2.0 Profiles
• SAML 2.0 - Wikipedia