SAML Spécification QoA
Jusqu'à présent, les propriétaires d'applications devaient choisir les méthodes d'authentification exactes (mot de passe, mTAN, AuthApp, Vasco, Kerberos, Smartcard, Mobile ID, clé de sécurité FIDO) que l'utilisateur pouvait utiliser pour accéder à l'application.Avec le nouveau concept QoA, la classe QoA correspondante peut être spécifiée directement dans SAML "authnRequest", ce qui permet de présenter à l'utilisateur toutes les méthodes d'authentification qui correspondent au moins à ce niveau QoA.
Vous trouverez les informations concernant le concept QoA sous : Qualité de l'authentification (QoA)
eIAM "AuthnContextClasses"
Ce sont les nouvelles "AuthnContextClasses" pour demander l'authentification d'un utilisateur :| Authentication Level | AuthnContextClasses |
|---|---|
| QoA10 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:10 |
| QoA20 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:20 |
| QoA30 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:30 |
| QoA40 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:40 |
| QoA50 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:50 |
| QoA51 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:51 |
| QoA60 | urn:qoa.eiam.admin.ch:names:tc:ac:classes:60 |
Exemple d'un demande d'authentification SAML "authnRequest"
SAML authentication request "authnRequest"
Pour demander un certain niveau de QoA dans une authnRequest SAML, il faut ajouter une AuthnContextClassRef (lignes 26 à 30 dans l'exemple ci-dessus) à la requête. Nous considérons le niveau QoA demandé comme un minimum. Si l'utilisateur atteint un niveau plus élevé, nous l'acceptons et informons l'application dans la réponse.
Exemple du "SAML-Response"
SAML Response