0
Pas un expert sur le sujet, je voulais comprendre si une clé publique telle que celle utilisée pour signer des jetons saml par un STS tel qu'ADFS peut être récupérée automatiquement sur demande par un serveur de partie de confiance. Cette fonctionnalité est-elle possible ou la clé publique doit-elle être déployée manuellement sur les serveurs qui en ont besoin? Des normes comme SAML permettent-elles d'intégrer une URL dans le jeton saml pour télécharger la clé publique en cas de besoin? Est-ce que quelque chose comme ça est simplement une idée folle du point de vue de la sécurité?Distribution de la clé publique ADFS sur les serveurs des parties dépendantes
Quand vous dites métadonnées, vous voulez dire les métadonnées du fournisseur d'identité? Cela signifie qu'il n'est pas nécessaire de distribuer manuellement aux fournisseurs de services la clé publique de chiffrement STS? – noplace
Oui et oui, pas besoin de distribuer la clé. – nzpcmad
Je me demande comment il serait difficile de fournir la même fonctionnalité dans un STS personnalisé. Je suis en train de développer un STS qui retournera des jetons SAML basés sur un ensemble d'autorisations renvoyées par une autre plateforme qui sera également responsable de la validation des informations d'identification fournies. – noplace