Endpoints do provedor de serviço
| Endpoint | Descrição |
|---|---|
/sso/hrd |
Encontre a conexão empresarial para um domínio de e-mail verificado. |
/sso/saml/{connection}/metadata |
XML de metadados do SP para a conexão configurada. |
/sso/saml/{connection}/login |
Redirecionamento AuthnRequest iniciado pelo SP para o IdP. |
/sso/saml/{connection}/acs |
Endpoint ACS para respostas SAML assinadas ou criptografadas. |
Modelo de segurança
SAML é provider-ready: evidências locais e de fake-IdP cobrem as rotas Worker atuais, e a readiness de produção ainda exige uma conexão IdP real sem registrar valores SAMLResponse nem segredos do provedor.
- Certificados do IdP são armazenados na conexão. KeyInfo fornecido pelo navegador é ignorado.
- Asserções são validadas por emissor, público, destinatário, janela de tempo, InResponseTo e repetição.
- EncryptedAssertion usa a chave de descriptografia SP configurada e ainda exige a verificacao da assinatura da assertion descriptografada.
- A pre-verificacao de seguranca XML e a lista de permissao de estruturas de assinatura sao cobertas localmente. A validacao XSD completa e o SAML Single Logout ainda nao tem suporte publico.
- Atualmente, o XID atua como provedor de serviços SAML para IdPs corporativos. O IdP SAML outbound para aplicativos SaaS downstream tem evidência local com um SaaS simulado, mas o suporte em produção ainda requer uma L4 real de administração de SaaS.
- O provisionamento JIT pode criar ou atualizar usuários quando a política da conexão permitir.
- SCIM continua sendo a fonte recomendada para desprovisionamento e ciclo de vida de associação a grupos.