Saml2.0 和 Service Provider 请求的数据

Question

到目前为止，我一直在使用 openid-connect，现在想了解 saml 的工作原理。

我不确定 SAML 断言的定义方式和位置。我知道这些是 Idp 响应的一部分。但是，ServiceProvider 是否可以请求用户的特定数据（如通过 oidc 声明）？

假设一个用户有一个 id、firstname、lastname 和 email。 服务提供商是否可以只请求这些信息的子集？或者这些声明是否在 Idp 上定义，甚至可能仅限于每个服务提供商？ 我能想到的最坏情况是 Idp 总是将用户的所有信息返回给服务提供商......

Answer 1

通常这些是在 IDP 上配置的。

在 ADFS 中，例如它们由 IDP 上的声明规则定义。

在 SAML 中有一个名为 NameID 的“特殊”声明，它是强制性的。

本质上，它充当将两个系统映射在一起的主键。