Integrar um fornecedor de serviço SAML 2.0

O AuthGuard é um fornecedor de identidade SAML 2.0. Este artigo resume o que um fornecedor de serviço (SP) precisa para integrar.

Dados do fornecedor de identidade

Item	Valor
Entity ID e metadados	`https://<anfitrião>/saml/<organização>/metadata`
SSO (HTTP-Redirect e HTTP-POST)	`https://<anfitrião>/saml/<organização>/sso`
Terminar sessão	`https://<anfitrião>/saml/<organização>/logout`
Certificado	PEM com impressão digital SHA-256, válido 730 dias

<organização> é o identificador interno (Tenant ID) da organização.

O AssertionConsumerServiceURL (ou o índice) tem de corresponder exatamente a um ACS registado (https). A proteção está no registo exato: as assinaturas dos AuthnRequest não são verificadas.
Respostas sempre por HTTP-POST; Artifact e Redirect não são suportados.
ForceAuthn obriga a nova confirmação; IsPassive sem sessão única utilizável devolve NoPassive.
RelayState é devolvido como recebido.

Assinatura RSA-SHA256 da resposta, da asserção ou de ambas (configurável).
Validade da asserção de 60 a 600 segundos (omissão 300).
NameID: email, identificador aleatório por aplicação (persistente), UUID do utilizador ou nome de utilizador do diretório.
Até 32 atributos: email, user_id, groups, directory_username, role ou constantes.

Estado	Causa
`RequestDenied`	A política de acesso recusou (`federation.authorize`, recurso `saml:` mais o identificador da aplicação)
`NoPassive`	Pedido passivo sem sessão utilizável
`NoAuthnContext`	Contexto de autenticação pedido não aceite
`UnknownPrincipal`	A origem do NameID não tem valor para esta pessoa

Single Logout SAML, asserções cifradas e criação de contas no SP (sem SCIM de saída).