SAML QoA Spezifikation
Bisher mussten die Applikationsowner die genauen Authentifizierungsmethoden (Passwort, mTAN, AuthApp, Vasco, Kerberos, Smartcard, Mobile ID, FIDO Sicherheitsschlüssel) auswählen, welche der Benutzer für den Zugriff auf die Anwendung verwenden konnten.Mit dem neuen QoA Konzept kann die entsprechende QoA Klasse direkt im SAML "authnRequest" spezifizieren werden, damit eröffnet sich die Möglichkeit dem Benutzer alle Authentifizierungsmethoden, die mindestens diesem QoA Level entsprechen, zu präsentieren.
Die Informationen betreffend dem QoA Konzept finden Sie unter: Qualität der Authentifizierung (QoA)
eIAM "AuthnContextClasses"
Dies sind die neuen "AuthnContextClasses" um eine Authentifizierung eines Benutzers anzufordern:| Authentication Level | AuthnContextClasses |
|---|---|
| QoA10 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:10 |
| QoA20 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:20 |
| QoA30 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:30 |
| QoA40 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:40 |
| QoA50 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:50 |
| QoA51 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:51 |
| QoA60 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:60 |
Beispiel eines SAML Authentifizierungsanfrage "authnRequest"
SAML authentication request "authnRequest"
Um einen bestimmten QoA Level in einem SAML authnRequest anzufordern, muss man eine AuthnContextClassRef (Zeile 26 bis 30 im obigen Beispiel) zur Anfrage hinzufügen. Wir betrachten den angeforderten QoA Level als Minimum. Wenn der Benutzer einen höheren Level erreicht, akzeptieren wir diesen und informieren die Anwendung in der Antwort.
Beispiel der "SAML-Response"
SAML Response