LWS 1.0 認証スイート: SAML 2.0

Security Assertion Markup Language (SAML)は、当事者間で認証および 認可アサーションを交換するためのオープン標準であり、 一般的にはWebベースのサービス・プロバイダー（すなわちアプリケーション）とアイデンティティ・プロバイダーの間で使用されます。これらの アサーションは、デジタル署名を含むXML形式でエンコードされます。 この仕様は、SAMLベースのアイデンティティ・トークンを、Linked Web Storage環境でエンドユーザーを 認証するためにどのように使用できるかを説明します。

非規範的であると明示された節に加え、この 仕様に含まれるすべての作成ガイドライン、図、例、および注記は非規範的です。この仕様のそれ以外のすべては規範的です。

この文書におけるキーワードMUSTおよびSHOULDは、 ここに示すようにすべて 大文字で現れる場合にのみ、 BCP 14 [RFC2119] [RFC8174] で説明されているとおりに解釈されます。

「authorization server」および「client」という用語は、The OAuth 2.0 Authorization Framework [RFC6749]で定義されています。

「identity provider」および「assertion」という用語は、The Security Assertion Markup Language (SAML) 2.0 [SAML2-CORE]で定義されています。

「authentication credential」および「authentication suite」という用語は、Linked Web Storage Protocol [LWS10-CORE]で定義されています

authentication credentialsとして使用されるSAMLトークンは、 署名されていなければなりません（MUST）。さらに、有効なSAMLトークンは 次のアサーションを含まなければなりません（MUST）:

SAMLトークンは、LWSサブジェクト 識別子としてsaml:NameIDアサーションを使用しなければなりません（MUST）。

SAMLトークンは、LWS発行者 識別子としてsaml:Issuerアサーションを使用しなければなりません（MUST）。

SAMLトークンは、LWSクライアント識別子として、 saml:SubjectConfirmationDataアサーション内のRecipientパラメーターを 使用しなければなりません（MUST）。

SAMLトークン内の任意のオーディエンス制限は、saml:Audience アサーションを使用しなければなりません（MUST）。saml:Audienceアサーションは、クライアント 識別子、および認可サーバーなどの追加の対象オーディエンスを含むべきです（SHOULD）。

SAML認証クレデンシャルの例を以下に示します。

<samlp:Response
    xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
    xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
    xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
    Version="2.0"
    IssueInstant="2025-10-25T01:01:16Z">

  <saml:Issuer>https://idp.example

  <ds:Signature>
    <ds:SignedInfo>
      ...
    <ds:SignedInfo>
  <ds:SignedInfo>

  <samlp:Status>
    <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/>
  <samlp:Status>

  <saml:Assertion Version="2.0" IssueInstant="2025-10-25T01:01:16Z">
    <saml:Issuer>https://idp.example</saml:Issuer>
    <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">
          https://id.example/end-user
      <saml:NameID>
      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2025-10-25T02:01:16Z"
                                      Recipient="https://app.example/SAML"/>
      <saml:SubjectConfirmation>
    <saml:Subject>
    <saml:Conditions NotBefore="2025-10-25T01:01:16Z"
                     NotOnOrAfter="2025-10-25T02:01:16Z">
      <saml:AudienceRestriction>
        <saml:Audience>https://app.example/SAML
        <saml:Audience>https://as.example
      <saml:AudienceRestriction>
    <saml:Conditions>
  <saml:Assertion>
<samlp:Response>

SAMLauthentication credentialを検証するためには、 発行元のアイデンティティ・プロバイダーとの信頼関係が存在していなければなりません。 この仕様は、検証エンティティがアイデンティティ プロバイダーとの信頼関係をどのように確立するかを定義せず、 これらの関係が帯域外で確立されることを想定しています。

発行者との信頼関係を使用して、クレデンシャルの署名は、SAML Coreの第5節 [SAML2-CORE]に記述されているとおりに 検証されなければなりません（MUST）。

authentication credentialとして使用されるSAML 2.0アサーションは、 認可サーバーと相互作用する際に、urn:ietf:params:oauth:token-type:saml2 URIを 使用しなければなりません（MUST）。