SAML 2.0とは？SSOとフェデレーテッドアイデンティティの仕組みを解説

OASIS Security Assertion Markup Language (SAML) 2.0 に基づく要点整理。

概要

SAML（Security Assertion Markup Language）は、XMLベースの認証・認可データ交換標準。

異なるセキュリティドメイン間で、ユーザーの認証情報や属性情報を安全にやり取りするためのフレームワーク。主にエンタープライズ環境でのSSO（シングルサインオン）に使用される。

OAuth/OIDCとの比較

主要な用語

SAMLの4つの構成要素

SAMLは階層的な設計で構成される。

1. Assertions（アサーション）

主体に関するセキュリティ情報を含むXMLドキュメント。

2. Protocols（プロトコル）

リクエスト/レスポンス形式のメッセージセット。

3. Bindings（バインディング）

SAMLメッセージを下位層プロトコル上で転送する方法。

4. Profiles（プロファイル）

特定のユースケースでAssertions、Protocols、Bindingsを組み合わせたもの。

Assertion（アサーション）

構造

<saml:Assertion Version="2.0"
    ID="_abc123"
    IssueInstant="2024-01-15T10:00:00Z">

    <saml:Issuer>https://idp.example.com</saml:Issuer>

    <saml:Subject>
        <saml:NameID>user@example.com</saml:NameID>
        <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
            <saml:SubjectConfirmationData
                NotOnOrAfter="2024-01-15T10:05:00Z"
                Recipient="https://sp.example.com/acs"/>
        </saml:SubjectConfirmation>
    </saml:Subject>

    <saml:Conditions NotBefore="..." NotOnOrAfter="...">
        <saml:AudienceRestriction>
            <saml:Audience>https://sp.example.com</saml:Audience>
        </saml:AudienceRestriction>
    </saml:Conditions>

    <saml:AuthnStatement AuthnInstant="2024-01-15T09:59:00Z">
        ...
    </saml:AuthnStatement>

    <saml:AttributeStatement>
        ...
    </saml:AttributeStatement>

</saml:Assertion>

3種類のStatement

SubjectConfirmation Method

Assertionの有効性を確認する方法。

Protocols（プロトコル）

主要なプロトコル

AuthnRequest（認証リクエスト）

<samlp:AuthnRequest
    ID="_req123"
    Version="2.0"
    IssueInstant="2024-01-15T10:00:00Z"
    Destination="https://idp.example.com/sso"
    AssertionConsumerServiceURL="https://sp.example.com/acs"
    ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST">

    <saml:Issuer>https://sp.example.com</saml:Issuer>

    <samlp:NameIDPolicy
        Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
        AllowCreate="true"/>

</samlp:AuthnRequest>

Response（認証レスポンス）

<samlp:Response
    ID="_res456"
    Version="2.0"
    IssueInstant="2024-01-15T10:00:05Z"
    Destination="https://sp.example.com/acs"
    InResponseTo="_req123">

    <saml:Issuer>https://idp.example.com</saml:Issuer>

    <samlp:Status>
        <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
    </samlp:Status>

    <saml:Assertion>
        <!-- Assertion内容 -->
    </saml:Assertion>

</samlp:Response>

Bindings（バインディング）

SAMLメッセージを転送する方法。

HTTP Redirect Binding

https://idp.example.com/sso?
    SAMLRequest=fZJNT8MwDIbv...（DEFLATE + Base64）
    &RelayState=token
    &SigAlg=...
    &Signature=...

HTTP POST Binding

<form method="post" action="https://sp.example.com/acs">
    <input type="hidden" name="SAMLResponse" value="PHNhbW...（Base64）"/>
    <input type="hidden" name="RelayState" value="token"/>
    <input type="submit" value="Submit"/>
</form>

Profiles（プロファイル）

Web Browser SSO Profile

最も一般的なプロファイル。2つのフローがある。

SP-Initiated SSO（SPから開始）

特徴: ユーザーがまずSPにアクセスし、IdPへ認証を依頼するフロー。

IdP-Initiated SSO（IdPから開始）

特徴: ユーザーが先にIdPにログインし、そこからSPにアクセスするフロー。AuthnRequestが不要。

Single Logout Profile

Binding × Profile の組み合わせ

Web Browser SSO Profileで使用可能な組み合わせ：

メタデータ

IdPとSPの設定情報を記述するXMLドキュメント。

IdPメタデータ例

<EntityDescriptor entityID="https://idp.example.com">
    <IDPSSODescriptor>
        <KeyDescriptor use="signing">
            <ds:KeyInfo>...</ds:KeyInfo>
        </KeyDescriptor>
        <SingleSignOnService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
            Location="https://idp.example.com/sso"/>
        <SingleLogoutService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://idp.example.com/slo"/>
    </IDPSSODescriptor>
</EntityDescriptor>

SPメタデータ例

<EntityDescriptor entityID="https://sp.example.com">
    <SPSSODescriptor>
        <KeyDescriptor use="signing">
            <ds:KeyInfo>...</ds:KeyInfo>
        </KeyDescriptor>
        <AssertionConsumerService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://sp.example.com/acs"
            index="0"/>
        <SingleLogoutService
            Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
            Location="https://sp.example.com/slo"/>
    </SPSSODescriptor>
</EntityDescriptor>

メタデータに含まれる情報

セキュリティ考慮事項

署名と暗号化

TLS要件

主要な脅威と対策

Assertion検証チェックリスト

NameID Format

ユーザー識別子の形式。

プライバシー考慮

エラーハンドリング

Status Code

第2レベルStatus Code

よくある質問（FAQ）

SAMLとOAuth 2.0 / OIDCの違いは？

SAML 2.0は2005年策定のエンタープライズ向け認証標準で、既存のActive DirectoryやLDAPとの連携に強みを持つ。新規のWebサービスやモバイルアプリには、シンプルなOAuth 2.0 + OIDCの採用が推奨される。

SP-Initiated SSOとIdP-Initiated SSOの使い分けは？

セキュリティ上はSP-Initiated SSOが推奨される。IdP-InitiatedはAuthnRequestが存在せず、InResponseTo検証ができないため、リプレイ攻撃への耐性が低い。

HTTP-POSTバインディングとHTTP-Redirectバインディングの使い分けは？

Assertionを含むResponseはurn:oasis:names:tc:SAML:2.0:bindings:HTTP-POSTで送信するのが標準的（Assertionがサイズを超えるため）。AuthnRequestにはHTTP-Redirectが多く使われる。

SAML 2.0の代表的な脆弱性と対策は？

参考資料

• SAML 2.0 Technical Overview
• SAML 2.0 Core Specification
• SAML 2.0 Bindings
• SAML 2.0 Profiles
• SAML 2.0 - Wikipedia