SAML

読み：さむる　／　英語表記：Security Assertion Markup Language

異なるシステムの間で、利用者の認証情報・属性情報・認可判断を伝えるためのXMLベースの標準仕様。信頼関係を結んだサービス間で、ログイン結果を共有する仕組みなどに使う。

イマシルちゃんの解説

受付でもらった入館証を、別の部屋の係の人にも見せるとするよ。
係の人が受付を信頼していれば、毎回身分証を出し直さなくても入れるんだ。

ただし、偽物でないか、期限が切れていないかは確かめないといけないよね。
どの部屋にも自由に入れるわけではなく、部屋ごとの決まりもあるんだ。

SAMLはOASISが定めた標準である。パスワードの照合方法そのものを統一するのではなく、照合済みの結果などを別のシステムへ伝える形式と手順を定める。

伝える内容をまとめたXML文書がSAMLアサーションである。主な情報は次のように分けられる。

すべてのアサーションに、この3種類が必ず含まれるわけではない。受け取った所属などを材料に、サービス側でアクセス権限を判断する構成もある。

本人確認を行う側をIdP（Identity Provider、アイデンティティプロバイダ）、利用者にサービスを提供する側をSP（Service Provider）という。ここでのSPは、通信事業者という意味ではない。

このように、一度の本人確認を複数のサービスで活用するのがシングルサインオンである。ブラウザを経由して情報を渡す場合でも、利用者が内容を改変できないことの確認が必要である。

確認項目	目的
ディジタル署名	信頼した発行者の応答で、内容が改変されていないことを確かめる
有効期間	期限切れの情報を使わせない
宛先・対象サービス	別のサービス向けに発行された情報を受け入れない
要求との対応・再利用	要求をすり替える攻撃やリプレイ攻撃を防ぐ

署名は内容を隠す機能ではない。機密性が必要な通信にはTLSを使い、必要に応じてアサーション自体も暗号化する。連携前には、発行者、接続先、検証用証明書などを双方で正しく設定する。