了解 URI 为 URL 时的实体 ID 我应该使用 HTTP 还是 HTTPS

【问题标题】：Understanding Entity ID when URI is URL should I use HTTP or HTTPS了解 URI 为 URL 时的实体 ID 我应该使用 HTTP 还是 HTTPS
【发布时间】：2019-05-22 13:21:44
【问题描述】：

在设置 SSO 解决方案时，在我使用 Okta 的情况下，需要定义以下元素：

IdP 服务器颁发者/实体 ID - http://www.okta.com/dskjeoirueiuaksjdkfj SP 发行人/实体 ID - http://www.myapp.com/IDP

鉴于这些是我已经阅读过的 URI，协议是否定义为 http:// 或 https:// 并不重要。我试图了解这是否属实，如果是这样，为什么/为什么不。

我还读到，虽然在技术上使用 http:// 或 https:// 并不重要，但 https:// 更灵活。但是没有解释原因。

【问题讨论】：

标签： security single-sign-on saml okta

【解决方案1】：

entityID 只是您的身份提供者 (IdP) 的“句柄”。它应该在您与之交互的所有服务提供商中保持不变。

recommendation 是您拥有域的目的是在可解析的 uri 中托管您的元数据。

推荐https的UK federation explains是因为：

https 方案实体 ID 可以构造为兼容替代元数据发布方案，例如在 SAML 2.0 元数据规范第 4.1 节

例如，如果您的 entityID uri 可解析为 http url，则另一个联合可能不会发布您的元数据。他们可能更喜欢https。

SAML 2.0 metadata specification PDF

【讨论】：