Référence

Glossaire SAML

Les mots du métier, expliqués simplement.

SAML

Security Assertion Markup Language : le standard d'échange d'identité entre une application et un fournisseur d'identité, version 2.0.

SSO

Authentification unique (single sign-on) : se connecter une fois, accéder à plusieurs applications.

IdP

Fournisseur d'identité : le service qui authentifie les personnes (Entra ID, Okta, Keycloak…).

SP

Fournisseur de service : l'application qui délègue la connexion à l'IdP.

Entity ID

Le nom unique d'une partie (IdP ou SP), souvent une URL. Doit être identique des deux côtés, caractère pour caractère.

Métadonnées

Document XML qui décrit une partie : Entity ID, adresses, certificats. À importer plutôt que recopier.

ACS

Assertion Consumer Service : l'adresse de l'application qui reçoit la réponse SAML.

URL SSO

L'adresse de l'IdP qui reçoit les demandes de connexion.

AuthnRequest

La demande de connexion envoyée par l'application à l'IdP.

Response

Le message renvoyé par l'IdP : un statut et, si tout va bien, une assertion.

Assertion

Le « badge » : l'affirmation signée de l'IdP sur l'identité de la personne.

NameID

L'identifiant de la personne dans l'assertion (e-mail, identifiant persistant ou temporaire).

Attribut

Une information sur la personne (nom, e-mail, groupes) transportée dans l'assertion. Aussi appelé claim chez Microsoft.

Audience

L'application pour laquelle l'assertion est émise. Doit être l'Entity ID du SP.

NotBefore / NotOnOrAfter

Début et fin de validité de l'assertion. D'où l'importance d'horloges synchronisées.

InResponseTo

L'identifiant de la demande à laquelle la réponse répond. Relie les deux, et limite le rejeu.

RelayState

Un paramètre qui fait l'aller-retour tel quel, souvent pour revenir à la page demandée.

Binding

La façon dont un message voyage : Redirect (dans l'URL), POST (dans un formulaire), Artifact.

SP-initiated

Connexion lancée depuis l'application.

IdP-initiated

Connexion lancée depuis le portail de l'IdP, sans demande préalable.

Signature XML

Le « sceau » de l'assertion ou de la réponse (XML-DSig). Prouve l'origine et l'intégrité.

Certificat

Contient la clé publique qui permet de vérifier les signatures. Il expire : son renouvellement est un classique des pannes.

Canonicalisation (c14n)

Mise en forme normalisée du XML avant signature, pour que des variations sans importance ne cassent pas la signature.

XSW

XML Signature Wrapping : attaque qui glisse une fausse assertion à côté de la vraie signée.

SLO

Déconnexion unique (single logout) : fermer toutes les sessions d'un coup.

SessionIndex

Identifiant de la session côté IdP, utilisé pour la déconnexion.