A medida que las TI siguen cambiando hacia la cloud y las aplicaciones de Software-como Servicio (SaaS, por sus siglas en ingl茅s), SAML es un tema importante a la hora de considerar opciones de autenticaci贸n. SAML tambi茅n proporciona una autorizaci贸n 煤nica que se puede utilizar para hacer cumplir los permisos de usuario en los servicios. Exploremos SAML, c贸mo funciona, su historia y ventajas, c贸mo se puede utilizar y c贸mo se compara con sus alternativas.
驴Qu茅 es SAML SSO?
El protocolo SAML (Security Assertion Markup Language) es el preferido de muchos proveedores de inicio de sesi贸n 煤nico (SSO, por sus siglas en ingl茅s) de aplicaciones web y se utiliza para conectar de forma segura a los usuarios con las aplicaciones web con un 煤nico conjunto de credenciales. SAML utiliza certificados XML (Extensible Markup Language) para afirmar la autenticaci贸n de usuarios entre un proveedor de identidades (IdP, por sus siglas en ingl茅s) y un proveedor de servicios (SP, por sus siglas en ingl茅s) o una aplicaci贸n web.
Los usuarios pueden crear una contrase帽a 煤nica y segura para proteger sus credenciales de IdP sin tener que preocuparse por mantener las contrase帽as de sus aplicaciones web escritas en un documento o en una nota adhesiva pegada a su monitor, o tener que utilizar gestores de contrase帽as para almacenar las credenciales. (Sin embargo, tenga en cuenta que a煤n puede beneficiarse de un gestor de contrase帽as SSO).
En resumen, se trata de un inicio de sesi贸n 煤nico (SSO) basado en la web. Son muchas siglas, pero tendr谩n m谩s sentido una vez que nos sumerjamos en el funcionamiento de SAML.
驴Qu茅 es SAML 2.0?
SAML 2.0 es la versi贸n actual de la norma SAML. Fue una actualizaci贸n sustancial que no era retrocompatible con su predecesora y a帽ad铆a funciones que se hab铆an incluido en el marco de federaci贸n de identidades de Liberty Alliance, lo que la hac铆a mucho m谩s s贸lida y madura. El cierre de sesi贸n 煤nico (en todos los servicios) result贸 ser una de las mejoras m谩s significativas.
Ventajas de SAML
El uso de SAML ofrece numerosas ventajas. La seguridad y la relativa facilidad de gesti贸n de las credenciales son ventajas evidentes: los usuarios finales no tienen que recordar todas las contrase帽as necesarias para acceder a sus distintas aplicaciones web. El proceso de afirmaci贸n utiliza una comunicaci贸n XML segura a trav茅s de SAML directamente entre el SP y el IdP, y las contrase帽as no se almacenan en servidores remotos ni se env铆an por cable. En general, los administradores de TI obtienen una gesti贸n centralizada del ciclo de vida del usuario con un control muy granular sobre los recursos a los que pueden acceder los usuarios. Esta caracter铆stica es ideal para los sectores regulados que deben tomar medidas estrictas para garantizar la confidencialidad de los datos y los derechos de privacidad.
Por lo general, los administradores de TI experimentan una reducci贸n de las solicitudes de ayuda relacionadas con contrase帽as, adem谩s de una mayor seguridad gracias a SAML y la posibilidad de a帽adir una autenticaci贸n multi-factor (MFA, por sus siglas en ingl茅s) s贸lida y f谩cil de usar, como Push MFA, y protecciones contra la suplantaci贸n de identidad. El SSO tambi茅n reduce los riesgos de la TI en la sombra, que es cuando los usuarios gestionan su propio acceso a las aplicaciones bajo el radar del equipo TI. Los usuarios finales, al tener que preocuparse s贸lo de una contrase帽a, experimentan tambi茅n menos fatiga de contrase帽as con el SSO.
Muchos proveedores de SSO han creado portales web en los que los usuarios finales pueden iniciar sesi贸n una vez y luego hacer clic en un mosaico con la aplicaci贸n a la que necesitan acceder, lo que ofrece otro incentivo para adoptar SAML.
Ejemplos de SAML en acci贸n
El mencionado portal SSO es un buen ejemplo de c贸mo SAML puede impulsar las sinergias inform谩ticas en las peque帽as y medianas empresas (PyMEs). Este proceso suele denominarse “flujo SAML”, cuando los usuarios hacen clic en el icono de una aplicaci贸n y la autenticaci贸n se produce entre bastidores.
Otro caso de uso aprovecha los atributos del usuario para determinar a qu茅 parte de una aplicaci贸n debe tener acceso. Por ejemplo, un auxiliar contable no deber铆a tener el mismo nivel de acceso que un director financiero. Refuerza el concepto de seguridad de la separaci贸n de funciones y ayuda a garantizar el cumplimiento de los m铆nimos privilegios, esencial para un s贸lido modelo de seguridad de Confianza Cero (Zero Trust).
黑料海角91入口 aprovecha de forma 煤nica el control de acceso basado en atributos (ABAC, por sus siglas en ingl茅s) para proporcionar una comprobaci贸n cruzada instant谩nea de los usuarios dentro de un grupo a las aplicaciones y recursos que necesitan, e incluye sugerencias para modificar la pertenencia a grupos. Esto difiere de los m茅todos tradicionales de control de acceso basados en roles y anidados, que no fueron dise帽ados originalmente para infraestructuras de TI basadas en SaaS.
Los desarrolladores tambi茅n pueden utilizar SAML como soluci贸n para proteger los servicios web backend mediante una funci贸n denominada protecci贸n de mensajes SAML. SAML es extremadamente flexible y personalizable.
驴C贸mo funciona SAML?
El proceso de SAML es, en esencia, una serie de intercambios entre el usuario, un proveedor de servicios (que aloja la aplicaci贸n web a la que el usuario quiere acceder) y un proveedor de identidad (que es el medio por el que el usuario puede autenticarse). Cuando un usuario quiere acceder a una aplicaci贸n web, primero visita el servicio a trav茅s de un “agente”, que casi siempre es un navegador web est谩ndar como Chrome, Firefox, Safari o Edge. A continuaci贸n, el agente intenta solicitar acceso al SP iniciando sesi贸n en la aplicaci贸n web.
Componentes de SAML
El intercambio de informaci贸n de identidad sobre autenticaci贸n y autorizaci贸n es posible gracias a que los componentes principales de SAML funcionan como un sistema. En esta secci贸n se describe cada componente y su funci贸n en el marco de mensajes/respuestas de SAML, que permite federar identidades e informaci贸n de usuario entre dominios. En primer lugar, vamos a examinar una visualizaci贸n de los pasos b谩sicos de una transacci贸n a trav茅s del protocolo SAML. Este ejemplo ilustra lo que sucede bajo las cubiertas cuando un usuario introduce sus credenciales de la empresa en un servicio que su organizaci贸n utiliza.
Fijaciones
Los enlaces son la infraestructura que hace que los mensajes SAML se transfieran a trav茅s de protocolos de red comunes. Por ejemplo, un enlace HTTPS POST define c贸mo transportar las respuestas de un SP a las solicitudes de un agente de usuario (navegadores web).
Protocolos
驴C贸mo establecen la mayor铆a de los usuarios conexiones seguras con los servicios web? HTTPS es un ejemplo de uno de los protocolos, junto con SOAP, especificados en el est谩ndar SAML. Los certificados digitales (certificado X.509) se utilizan en el lado del IdP y del SP para las comunicaciones seguras.
Perfiles
Los perfiles son el pegamento que une los protocolos, enlaces y aserciones de SAML para cada caso de uso. 黑料海角91入口 simplifica este concepto poniendo a disposici贸n de los usuarios una biblioteca de cientos de “conectores” para evitarles el trabajo pesado.
La siguiente secci贸n detalla c贸mo funcionan las aserciones, que son paquetes XML que contienen informaci贸n organizativa sobre el usuario, el m茅todo de autenticaci贸n, as铆 como pol铆ticas que especifican el acceso a los recursos y registros de transacciones.
驴Qu茅 es la aserci贸n SAML?
El SP ha sido configurado administrativamente para diferir su autenticaci贸n a una fuente espec铆fica de autenticaci贸n – el IdP o base de datos de usuarios, si se quiere. El inicio de sesi贸n se redirige entonces de forma segura a trav茅s de Internet (y a trav茅s del navegador) para solicitar una autenticaci贸n al proveedor de identidad para verificar la identidad del usuario.
Desde la perspectiva del usuario, esto act煤a como una redirecci贸n a otro sitio web que contiene una sencilla interfaz de usuario con un campo de nombre de usuario y uno de contrase帽a. A continuaci贸n, el usuario introduce sus credenciales de IdP, que a su vez las verifica con sus propios registros.
Tras una verificaci贸n satisfactoria, el IdP generar谩 un certificado basado en XML, denominado aserci贸n. Esto significa que el IdP genera un “permiso de pasillo” figurado, afirmando que conoce al usuario y que 茅ste puede acceder a la aplicaci贸n solicitada. Este certificado se devuelve al navegador del usuario y luego al proveedor de servicios, que redirige la p谩gina de nuevo al servicio para que pueda ingerir el “permiso de pasillo” y permitir la entrada del usuario. Tenga en cuenta que, en algunos flujos m谩s sofisticados, el IdP devuelve m谩s datos, incluidos atributos, pertenencia a grupos, etc., para ayudar al proveedor de servicios a asignar con precisi贸n los derechos de autorizaci贸n, as铆 como proporcionar datos adicionales que el SP pueda necesitar para prestar un mejor servicio al usuario.
IdP y SP con SAML
El intercambio de informaci贸n se produce entre el IdP y el SP. Como se ha demostrado anteriormente, los proveedores utilizan SAML para transmitir credenciales entre un proveedor de identidad, que contiene las credenciales para verificar a un usuario, y un proveedor de servicios, que es el recurso que requiere autenticaci贸n. El proceso puede ser iniciado por cualquiera de las partes, pero el IdP es el responsable de asegurar y gestionar las identidades de usuario y los grupos de directorio. Las cuentas almacenadas en un IdP se convierten finalmente en usuarios verificados en un servicio a trav茅s de la federaci贸n de identidades SAML.
SAML puede utilizarse en combinaci贸n con otros est谩ndares de autenticaci贸n en funci贸n del caso de uso. Por ejemplo, una PyME del sector sanitario utilizar铆a SAML para el acceso seguro al portal de aplicaciones, pero una aplicaci贸n m贸vil se beneficiar铆a de la eficacia de OIDC. La siguiente secci贸n ofrece un breve resumen sobre qu茅 m茅todo de SSO resulta ser el m谩s 贸ptimo para cada caso.
Otras opciones de autenticaci贸n
SAML frente a OAuth
OAuth tiende a estar m谩s centrado en la aplicaci贸n que SAML, que se utiliza principalmente para el SSO web. OAuth ser铆a la opci贸n preferida en un caso en el que una aplicaci贸n deba acceder a las funciones de hardware de los dispositivos, como una webcam o una c谩mara.
SAML frente a OpenID Connect (OIDC)
OIDC es cada vez m谩s popular, sobre todo entre los desarrolladores m贸viles. Proporciona comunicaciones escalables y eficientes, pero no tiene la misma capacidad para autorizar a los usuarios con los servicios para los que se ha creado SAML. OAuth es su base, con una capa de identidad adicional destinada a la identidad descentralizada. Se trata tanto de una postura filos贸fica como tecnol贸gica.
Haga clic aqu铆 para ver una comparaci贸n detallada de SAML frente a OpenID.
SAML frente a LDAP
Estos dos est谩ndares van de la mano, con un directorio LDAP que sirve como funci贸n de gesti贸n de usuarios para un IdP. La combinaci贸n de estos protocolos de autenticaci贸n permite conectarse a una variedad a煤n mayor de servicios, de forma segura, para ayudarle a cumplir sus objetivos empresariales.
Haga clic aqu铆 para ver una comparaci贸n detallada entre SAML y LDAP.
黑料海角91入口 Directory Platform permite a los administradores de TI gestionar a sus usuarios y su acceso a sistemas, aplicaciones, redes, infraestructura, servidores de archivos y mucho m谩s con un 煤nico conjunto de credenciales. Como IdP en la cloud, 黑料海角91入口 ha reimaginado la asociaci贸n que existe entre Active Directory y SSO para la era moderna, proporcionando pr谩cticamente todas las mismas capacidades y muchas otras, todo desde una 煤nica consola de administraci贸n en la cloud.
黑料海角91入口 aprovecha SAML, junto con LDAP, RADIUS, y m谩s, para proporcionar una experiencia True SSO, lo que significa que las organizaciones de TI pueden utilizar una soluci贸n integral en lugar de una serie de otras. M谩s all谩 de eso, los administradores de TI tambi茅n pueden utilizar 黑料海角91入口 para implementar pol铆ticas de seguridad de Confianza Cero, como la autenticaci贸n multi-factor (MFA), el acceso condicional, la complejidad de la contrase帽a, y m谩s, en toda su organizaci贸n a escala.
Uso de SAML con 黑料海角91入口
True Single Sign-On鈩� se extiende m谩s all谩 de simplemente SAML, utilizando una serie de otros protocolos y m茅todos de autenticaci贸n para extender un conjunto de credenciales de usuario a pr谩cticamente todos los recursos. Afortunadamente, el servicio de directorio en la cloud de nueva generaci贸n de 黑料海角91入口 proporciona una experiencia True SSO para las organizaciones de TI modernas.
Este art铆culo describe c贸mo usando 黑料海角91入口. El m茅todo m谩s sencillo es buscar en nuestra creciente biblioteca de conectores, pero tambi茅n es posible escribir el suyo propio.
C贸mo configurar SAML
Para conectar una aplicaci贸n a 黑料海角91入口:
- Inicie sesi贸n en el portal de administraci贸n 黑料海角91入口 en https://console.jumpcloud.com/login.
- Vaya a Autenticaci贸n de usuarios > SSO y haga clic en el s铆mbolo ( + ). Aparecer谩 el panel para configurar una nueva aplicaci贸n.
- Busque una aplicaci贸n por su nombre utilizando la barra de b煤squeda situada en la parte superior del panel.
- Cuando encuentre la aplicaci贸n que desea conectar, haga clic en configurar.
Consejo: Si no hay un conector para una aplicaci贸n que desea conectar a 黑料海角91入口, puede utilizar el para conectar esa aplicaci贸n con 黑料海角91入口.
黑料海角91入口 utiliza el protocolo SAML 2.0 como m茅todo para afirmar identidades con proveedores de servicios de aplicaciones. 黑料海角91入口 se considera el proveedor de identidad, y la aplicaci贸n se considera el proveedor de servicios.
C贸mo gestionar la autenticaci贸n SAML
El proveedor de servicios suele proporcionar par谩metros de configuraci贸n SAML para configurar el SSO desde un IdP compatible como 黑料海角91入口.
La siguiente imagen muestra las para configurar Marketing Cloud para SAML SSO.
C贸mo gestionar la aserci贸n SAML
Para iniciar sesi贸n en una aplicaci贸n basada en web mediante autenticaci贸n SAML iniciada por un IdP:
- Un usuario introduce sus credenciales en el IdP.
- El IdP autentica y autoriza al usuario.
- Tras conectarse, el usuario navega hasta una lista de aplicaciones web a las que puede acceder y selecciona la que desea utilizar.
- Cuando el usuario hace clic en la aplicaci贸n basada en web, el IdP env铆a una aserci贸n SAML al SP.
- El SP recibe la aserci贸n SAML y hace algunas cosas:
- El SP comprueba que la afirmaci贸n es v谩lida y aut茅ntica.
- El SP averigua qui茅n es el usuario y c贸mo debe conectarse.
- El SP permite al usuario acceder a la aplicaci贸n sin que tenga que volver a identificarse.
Para iniciar sesi贸n en una aplicaci贸n basada en web utilizando autenticaci贸n SAML iniciada por SP:
- Un usuario accede a la p谩gina de inicio de sesi贸n de una aplicaci贸n web e introduce su nombre de usuario.
- El comportamiento del SP var铆a, pero muchos detectan que SAML SSO est谩 involucrado, y redirige al usuario a una p谩gina de inicio de sesi贸n IdP.
- El usuario introduce sus credenciales en la p谩gina de inicio de sesi贸n del IdP.
- El IdP autentica y autoriza al usuario y, a continuaci贸n, env铆a una aserci贸n SAML al SP con la informaci贸n que necesita.
- El usuario es redirigido de nuevo al SP con acceso a la aplicaci贸n.
- Leer de 黑料海角91入口
- C贸mo probar SAML y configurar el SSO con una aplicaci贸n gratuita
Comience con 黑料海角91入口
Puede experimentar True SSO con SAML, LDAP, RADIUS y m谩s usted mismo, con .
