ما المقصود بلغة ترميز تأكيدات الأمان (SAML)؟

• مصطلحات إدارة الهوية والوصول
• ما المقصود بلغة ترميز تأكيدات الأمان (SAML)؟

لغة ترميز تأكيدات الأمان (SAML) معيار مفتوح يعتمد على XML، ويتيح لمزوِّد الهوية (IdP) إرسال بيانات مصادقة المستخدم وتفويضه بأمان إلى مزوِّد الخدمة (SP). وبعبارة بسيطة، يُعد SAML إحدى التقنيات الرئيسية التي تتيح للمستخدمين تسجيل الدخول مرة واحدة والوصول إلى تطبيقات متعددة دون إعادة إدخال بيانات الاعتماد.

ما استخدامات SAML؟

يُستخدم SAML عادةً في أي بيئة يحتاج فيها المستخدمون إلى الوصول إلى تطبيقات متعددة بأمان وسلاسة. فيما يلي أكثر حالات الاستخدام شيوعًا:

• تسجيل الدخول الموحّد (SSO): تتيح عملية تسجيل دخول واحدة الوصول إلى تطبيقات متعددة، ما يلغي الحاجة إلى إعادة إدخال بيانات الاعتماد لكل خدمة على حدة.
• الهوية الموحَّدة: يتيح SAML للمؤسسة الوثوق بالهويات الصادرة عن شركة شريكة أو شركة أم، بحيث يتمكن المستخدمون المنتمون إلى نطاق موثوق من الوصول دون الحاجة إلى حسابات منفصلة.
• إدارة الوصول على مستوى المؤسسة: تتمكن فرق تكنولوجيا المعلومات من التحكّم مركزيًا في تحديد المستخدمين الذين يُسمح لهم بالوصول إلى كل تطبيق، من خلال توجيه عمليات تسجيل الدخول عبر مزوِّد هوية واحد (IdP). ويساعد ذلك على فرض سياسات موحَّدة، مثل المصادقة متعددة العوامل (MFA)، في جميع التطبيقات في الوقت نفسه.

في كل حالة استخدام، يُصدر مزوِّد الهوية (IdP) تأكيدًا موقَّعًا بصيغة XML، ينتقل إلى مزوِّد الخدمة (SP) عبر متصفح المستخدم. وبهذه الآلية، تُنقل بيانات المصادقة بأمان دون أن يحتاج المستخدم إلى تسجيل الدخول مرة أخرى.

العناصر الرئيسية في SAML

تعتمد عمليات تبادل البيانات باستخدام SAML عادةً على عمل عدة عناصر معًا. فيما يلي بعض المصطلحات الأساسية التي تسهّل فهم عملية المصادقة وتتبع خطواتها بدرجة كبيرة:

• المستخدم محل المصادقة (Principal/Subject): المستخدم الذي يجري التحقق من هويته، ويكون في الغالب شخصًا يحاول الوصول إلى تطبيق محدد.
• مزوِّد الهوية (IdP): النظام الذي يتحقق من هوية المستخدم ويُصدر التأكيد اللازم لإتمام تسجيل الدخول فعليًا، مثل Microsoft Entra ID أو Okta.
• مزوِّد الخدمة (SP): التطبيق أو موقع الويب الذي يريد المستخدم الوصول إليه، ويعتمد على مزوِّد الهوية (IdP) لتأكيد هوية المستخدم بدلًا من إدارة بيانات اعتماد تسجيل الدخول بنفسه.
• تأكيد SAML: البيان الموقَّع بصيغة XML الذي يرسله مزوِّد الهوية (IdP) إلى مزوِّد الخدمة (SP)، ويتضمن بيانات هوية المستخدم وتفويضه (اطّلع على مزيد من التفاصيل أدناه).
• البيانات الوصفية: معلومات التهيئة التي يتبادلها الطرفان مسبقًا، مثل نقاط النهاية والشهادات وغيرها، للتأكد من توافق مزوِّد الهوية (IdP) ومزوِّد الخدمة (SP) على آليات الثقة والتواصل فيما بينهما.
• شهادة التوقيع: الشهادة الرقمية التي تحتوي على المفتاح العام الذي يستخدمه مزوِّد الخدمة (SP) للتحقق من توقيع التأكيد، بما يُرسي الثقة بين مزوِّد الخدمة ومزوِّد الهوية (IdP)، ويؤكد أن التأكيد لم يُعدَّل أثناء نقله.

كيف تعمل المصادقة باستخدام SAML؟

تعمل المصادقة باستخدام SAML من خلال نقل تأكيد موقَّع من مزوِّد الهوية (IdP) إلى مزوِّد الخدمة (SP)، لإثبات أن المستخدم هو بالفعل صاحب الهوية التي يعلنها. يُعد مسار المصادقة الذي يبدأه مزوِّد الخدمة أكثر أشكال مصادقة SAML شيوعًا، ويبدأ عندما ينتقل المستخدم إلى موقع الويب أو التطبيق الذي يريد استخدامه. إذا كان التطبيق يعتمد على مزوِّد هوية خارجي (IdP) لتسجيل الدخول، فإنه يعيد توجيه متصفح المستخدم إلى مزوِّد الهوية مع طلب مصادقة باستخدام SAML. يتحقق مزوِّد الهوية (IdP) بعد ذلك من بيانات اعتماد المستخدم للتأكد من هويته؛ وإذا كانت لدى المستخدم جلسة نشطة بالفعل، فتُتخطّى هذه الخطوة. بعد أن يستكمل مزوِّد الهوية (IdP) التحقق بنجاح، يُنشئ تأكيدًا موقَّعًا ويعيد إرساله عبر المتصفح إلى مزوِّد الخدمة (SP). وأخيرًا، يتحقق مزوِّد الخدمة (SP) من صحة توقيع التأكيد ويعتمده بوصفه موثوقًا، ثم يسمح للمستخدم بالدخول دون الحاجة إلى إجراء تسجيل دخول منفصل. رغم أن المصادقة التي تبدأ من مزوِّد الخدمة هي الأكثر شيوعًا في SAML، يوجد أيضًا مسار يبدأه مزوِّد الهوية. وفي هذا المسار، يبدأ المستخدم العملية من مزوِّد الهوية بدلًا من مزوِّد الخدمة، كأن ينقر على مربع أحد التطبيقات في لوحة معلومات الشركة.

ما المقصود بتأكيد SAML؟

تأكيد SAML هو مستند XML موقَّع يرسله مزوِّد الهوية (IdP) إلى مزوِّد الخدمة (SP) ليشهد بصحة هوية المستخدم. يمكن أن يتضمن كل تأكيد إقرارًا واحدًا أو عدة إقرارات. وتحمل هذه الإقرارات المعلومات الفعلية التي يستخدمها مزوِّد الخدمة (SP) ليقرر ما إذا كان ينبغي منح المستخدم حق الوصول. هناك ثلاثة أنواع من الإقرارات:

• تؤكد إقرارات المصادقة هوية المستخدم، وتبيّن وقت تسجيل دخوله والطريقة التي استخدمها، أي ما إذا استُخدمت المصادقة متعددة العوامل (MFA).
• تحمل إقرارات السمات معلومات إضافية عن المستخدم، مثل دوره أو القسم الذي ينتمي إليه. ويمكن لمزوِّد الخدمة (SP) استخدام هذه السمات لتحديد ما يستطيع المستخدم الاطّلاع عليه أو تنفيذه.
• توضّح إقرارات قرار التفويض ما إذا كان المستخدم قد مُنح حق الوصول إلى مورد معيّن. نادرًا ما يُستخدم هذا النوع من الإقرارات، لأن لغة ترميز التحكم في الوصول القابلة للامتداد (XACML) تتولى عادةً معالجة عمليات التفويض الأكثر تعقيدًا.

مقارنة بين SAML ومعايير المصادقة الأخرى

غالبًا ما يرتبط SAML ببروتوكولات أخرى للهوية والوصول تؤدي وظائف ذات صلة، لكنها تختلف عن وظيفته. يتمثل الغرض الرئيسي من SAML في إجراء المصادقة، لإثبات هوية المستخدم وتحديد ما إذا كان مسموحًا له بالدخول إلى موقع ويب أو تطبيق. وتولّي SAML مهمة المصادقة هو ما يميّزه عن OAuth، الذي يُعد بروتوكول تفويض يمنح التطبيق إذنًا بالوصول إلى موارد محددة. يكمّل SAML وOAuth أحدهما الآخر بدلًا من التنافس؛ إذ يؤكد SAML الهوية، بينما يمنح OAuth حق الوصول.

أما OpenID Connect (OIDC)، فهو أكثر تشابهًا مع SAML، لأن كليهما يتحقق من هوية المستخدمين ويتيح تسجيل الدخول الموحّد (SSO). لكن OIDC هو طبقة مصادقة مبنية على OAuth، ويستخدم رموز الويب المميزة بصيغة JSON (JWT)، الملائمة للتطبيقات الحديثة للويب والأجهزة المحمولة. وفي المقابل، لا يزال نهج SAML القائم على XML يُستخدم على نطاق واسع لتسجيل الدخول الموحّد إلى تطبيقات الويب في المؤسسات، رغم تزايد اعتماد OIDC بوصفه الخيار الافتراضي للتطبيقات الجديدة. وبالمقارنة، يُعد بروتوكول الوصول الخفيف إلى الدليل (LDAP) بروتوكولًا أقدم للوصول إلى الأدلة، ظهر قبل الحوسبة السحابية وصُمّم للبيئات داخل مقرات المؤسسات. وبدلًا من منافسة SAML، غالبًا ما يعمل LDAP في الخلفية بوصفه مصدر بيانات اعتماد المستخدمين الذي يعتمد عليه مزوِّد هوية يستخدم SAML.

الاستخدامات الأنسب

يوفّر SAML مزايا عديدة، لكنه ينطوي في الوقت نفسه على مفاضلات بين المنافع والقيود ينبغي فهمها قبل اعتماده.

مزايا SAML

تتمثل أكبر فوائد SAML في تقليل عدد كلمات المرور التي يتعين على المستخدمين إدارتها إلى الحد الأدنى. فعندما تتيح عملية تسجيل دخول واحدة الوصول إلى تطبيقات متعددة، يقل عدد بيانات الاعتماد التي يتعين على المستخدمين تذكّرها، ما يقلّص سطح الهجوم ويحدّ من مخاطر سرقة بيانات الاعتماد. وبما أن المصادقة تتم عبر مزوِّد هوية واحد (IdP)، تتمكن المؤسسات أيضًا من التحكّم في السياسات مركزيًا؛ إذ تستطيع فرق الأمن فرض المصادقة متعددة العوامل (MFA) بصورة موحَّدة على كل تطبيق متصل، من مكان واحد. وتنعكس فوائد هذه المركزية في خفض تكاليف مكتب الدعم، من خلال تقليل طلبات إعادة تعيين كلمات المرور التي غالبًا ما تُثقل كاهل فرق دعم تكنولوجيا المعلومات.

عيوب SAML

لا تظهر مزايا SAML إلا عندما تُضبط إعدادات لغة الترميز على نحو صحيح. ويعتمد SAML على معيارَي XML Signature وXML Encryption للحفاظ على سلامة الرسائل وخصوصيتها، إلى جانب بروتوكول أمن طبقة النقل (TLS) لتأمين نقل البيانات. ترتبط إحدى أكثر الثغرات الأمنية شيوعًا في SAML بسوء التهيئة، مثل عدم التحقق من صحة التوقيعات على النحو السليم. ويُعد نموذج SAML القائم على XML أقل مرونة من التنسيقات الحديثة للرموز المميزة، ما يجعل تطبيق SAML في تطبيقات الأجهزة المحمولة والتطبيقات أحادية الصفحة أمرًا صعبًا.