single-sign-on - 我是否必须使用电子邮件进行 SAML 身份验证

Question

首先，我很抱歉这个新手问题！考虑到所有 GDPR 问题，我想知道是否需要使用电子邮件进行 SAML 身份验证，或者是否有办法使用用户名或其他唯一 ID 开发身份验证？目标是根本不处理电子邮件，但仍然使用 SAML。

标签： single-sign-onsamlsaml-2.0

Answer 1

我发现电子邮件是一个糟糕的标识符选择，因为人们喜欢它们偶尔改变（结婚、离婚等）。

SAML 不需要使用任何特定的事物作为主题，它们保持开放状态。此外，该协议还提供了假名标识符的概念——瞬态和持久性。您可以在SAML 规范中的3605 到 3654 行之间看到这些内容。

归根结底，SAML 是一种协议，它围绕如何传递您和您的合作伙伴共同同意的标识符的结构进行包装。如果您根据目录对用户进行身份验证（他们仍然可以使用其电子邮件作为其 IdP 标识符），则向合作伙伴发送用户的 UUID。只要他们可以使用该标识符（因此，您的用户已使用您目录中的 UUID 作为标识符被配置到 SP 中），那么您可以在断言中发送它，并且您没有传递任何违反规则和精神的内容GDPR 的规定。