Comment s'assurer que lier un utilisateur via une requête SAML est légitime?

Question

Je configure la prise en charge SAML de base pour une application Web. Chaque utilisateur de cette application (identifié par adresse e-mail) peut appartenir à plusieurs organisations/sociétés de l'application. Je souhaite autoriser les organisations individuelles à activer l'authentification unique via SAML pour les utilisateurs membres de leur organisation.

La communication entre moi (le SP) et l'Idp (par exemple Okta, OneLogin) fonctionne très bien du point de vue technique. Mais je n'ai pas compris comment garantir qu'un utilisateur demandant l'accès à mon application via SAML soit réellement l'utilisateur qu'elle prétend être, étant donné qu'elle aurait pu s'inscrire à un profil utilisateur avant que SAML ne soit activé pour l'organisation.

Y a-t-il une sorte de "liaison" qui doit avoir lieu pour "connecter" un profil utilisateur existant avec un Idp spécifique?

Answer 1

Un fournisseur d'identités contient un ensemble d'identités d'utilisateur. Lorsque votre fournisseur de services et votre fournisseur d'identité échangent ses métadonnées, vous définissez un cercle de confiance, de sorte que tous les utilisateurs que le fournisseur d'identité contient seront approuvés par le fournisseur de services. Certains fournisseurs d'identité ont la possibilité de restreindre ce que les utilisateurs accèdent à ce que SP, ou l'information d'un utilisateur sera envoyé au SP, mais à la fin, vous pouvez faire confiance à toutes les informations fournies par le fournisseur d'identité.