Was ist der Zweck des Namensidentifizierungsanspruchs?

Question 1

Wofür http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifiersollte der Typanspruch verwendet werden?

Dies ist die Hauptfrage, und hier sind weitere.

Wie unterscheidet es sich von http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameAnspruch?

Ist es für einen bestimmten Benutzer dauerhaft und nicht für einen Namensanspruch?

Ist es global oder IdP?

Question 2

Nameist nur das ein Name. Wenn wir über eine Person sprechen, denken Sie an "Eric". ein Server "file01".

A NameIdentifierist die ID für ein Objekt. Zurück zu unserem Personenobjekt: Erics Benutzer-ID befindet sich möglicherweise in Ihrer Datenbank. Für den Server kann der Bezeichner so etwas wie ein FQDN oder eine SID sein.

Laut diesem Beitrag war Name Identifier anscheinend eine SAML 1.1-Eigenschaft und wird NameIDin SAML 2.0 ersetzt.

Einzigartig oder nicht?

Ich wollte @ Jasons Kommentar und @ nzpcmads Beitrag ansprechen. Ich sehe Einzigartigkeit nicht als eindeutige Anforderung. Die Frage ist markiertadfs2.0Das Schema, auf das verwiesen wird, gehört jedoch OASIS. Das sind also die Interpretationen der beiden Parteien, die wir ausbalancieren müssen.

Die Haltung von Microsoft zu ADFS ist eindeutig, dass es eine einzigartige Anforderung gibt. Wir sehen das im Artikel " Die Rolle der Ansprüche ". Zweifellos wirft ADFS einen großen Schatten, aber dies scheint ein Implementierungsdetail zu sein.

Wenn ich mir die SAML 1.1-Spezifikation anschaue , sehe ich jedoch keine solche Behauptung. Das nächste, was wir in Abschnitt 2.4.2.2 der Spezifikation erhalten, ist:

Das Element gibt einen Betreff durch eine Kombination aus einem Namensqualifizierer, einem Namen und einem Format an. Das Element weist die folgenden Attribute auf:
...
NameQualifier [optional] Die Sicherheits- oder Verwaltungsdomäne, die den Namen des Betreffs qualifiziert. Dieses Attribut bietet die Möglichkeit, Namen aus unterschiedlichen Benutzerspeichern ohne Kollision zusammenzufassen.

Der Text der Spezifikation sagt mir, dass ich in der Lage sein muss, eine Person zu finden, die eine Kombination der drei Attribute verwendet, aber es gibt keine Aussage über die Einzigartigkeit. Könnte ich nicht zwei Einträge haben, die auf denselben Benutzer verweisen? Scheint so. Würde die Spezifikation nicht auch angeben, dass das NameQualifierAttribut in Fällen erforderlich war, in denen NameIdentifierdie eindeutige Identifizierung des Namens nicht ausreichte?

Wozu führt das alles?

Seien Sie vorsichtig, Unqiue ist wahrscheinlich sicherer.
Informieren Sie sich über die Haltung Ihres Anbieters zu diesem Thema.

Question 3

Nach der Rolle der Ansprüche ,

Name Der eindeutige Name des Benutzers

Namenskennung Die SAML-Namenskennung des Benutzers

Diese beiden Ansprüche gehören zu der Gruppe von Ansprüchen, die AD FS 2.0 standardmäßig konfiguriert.

Dies bedeutet, dass sie einen IP-Gültigkeitsbereich haben.

Wenn Sie sich beispielsweise mit ACS bei Google anmelden, ist "nameidentifier" die eindeutige GUID, die Google Ihrem Konto zuordnet, während der Name Ihr Google-Login ist, z. B. "tim.smith@gmail.com".

Question 4

ClaimTypes.Nameist für den Benutzernamen und ClaimTypes.NameIdentifiergibt die Identität des Benutzers als Objektperspektive an. Wenn Sie sie in eine Art ClaimIdentityObjekt User.Identityeinfügen , mit dem Sie Methoden erreichen können (z. B. in der Dotnet-Welt), die GetUserName()und sind GetUserId().