使用自签名证书进行 Saml 2 断言

Question

我正在处理 Saml 2 SSO 的 Idp 方面，作为 IdP，我们应该向 SP 发布一个断言，它将由 IdP 启动。 断言中有一个名为 x509certificate 的字段。 我的第一个问题是这个字段的公钥本身还是由 CA（证书颁发机构）签名的公钥？ 我的第二个问题是，如果它是由 CA 签名的公钥，那么自签名是安全的还是由真正的 CA 签名更好？ 我的第三个问题是，我们向 SP 提供 Idp 元数据是否更好，或者在任何断言请求中拥有证书更安全，或者两者兼而有之？ 谢谢

Answer 1

我假设您指的是嵌入在 SAML 断言中的 XML 签名中的 X.509 证书。如果是这样，这是可用于验证 XML 签名的 base-64 编码的 X.509 证书。它是可选的，但通常包括在内。

您应该使用 CA 颁发的证书。 SP 与您的 IdP 具有信任关系。 CA 颁发的证书可确保签署和发送 SAML 断言的是您的 IdP，而不是欺骗您的人。

您通常会向 SP 提供您的元数据，其中包括您的证书。 SP 将使用此证书来验证您的 XML 签名。但是，正如我所说，将证书包含在 XML 签名中也没有什么坏处，尽管它不太可能用于实际的签名验证。