SAML 2.0
معيار دخول موحّد قديم وراسخ. ليس منتجاً بل لغة تتحدث بها أنظمة الهوية، وأغلب أنظمة المؤسسات تتحدثها.
معيار دخول موحّد قديم وراسخ. ليس منتجاً بل لغة تتحدث بها أنظمة الهوية، وأغلب أنظمة المؤسسات تتحدثها.
ماذا يحمل SAML 2.0، ولماذا يهمّ ذلك هنا
قيمة هذا المعيار أنه محايد: لا يلزمكم بمزوّد هوية بعينه. المؤسسة التي تديره تستطيع ربط أنظمة جديدة دون تغيير بنيتها الأساسية.
وهو راسخ بما يكفي ليكون مقبولاً في المراجعات الأمنية دون نقاش طويل، وهذه ميزة عملية في القطاعات المنظَّمة أكثر مما تبدو.
ووظيفته هنا واحدة وواضحة: أن يُعرف من السائل وبأي صلاحية، دون أن ينشئ المساعد حسابات أو كلمات مرور خاصة به.
- الهوية المؤكدة — من المستخدم بحسب مزوّد الهوية لديكم.
- السمات — ما يرسله المزوّد من دور ومجموعة، بقائمة متفق عليها.
- الدخول الموحّد — بلا حساب إضافي ولا كلمة مرور جديدة.
- الخروج الموحّد — إنهاء الجلسة من مكان واحد.
- حياد المزوّد — لا ارتباط بمنتج هوية بعينه.
أسئلة يجيب عنها Elbi من تأكيد SAML
من أنت؟
التحقق من مزوّد الهوية لديكم لا من حساب جديد.
ما دوري؟
ما يرسله المزوّد من سمات متفق عليها.
هل أنا مخوّل لهذا؟
بحسب الدور المرسَل، لا بمنطق موازٍ.
كيف أدخل؟
بالدخول الموحّد نفسه المستخدم في بقية أنظمتكم.
كيف أخرج؟
إنهاء الجلسة يتبع سياستكم.
لماذا رُفض دخولي؟
بحسب ما أرسله المزوّد — بجملة واضحة لا برفض غامض.
كيف يعمل Elbi مع مزوّد هوية SAML
- يُضاف Elbi مزوّدَ خدمةيضيف فريق الهوية Elbi مزوّدَ خدمة جديداً في مزوّد الهوية الذي تشغّلونه، مثل AD FS أو Entra ID أو Okta أو PingFederate أو Shibboleth. ويتبادل الطرفان البيانات الوصفية: معرّف Elbi وعنوان استقبال التأكيدات في اتجاه، وعنوان الدخول لدى مزوّدكم وشهادة التوقيع في الاتجاه الآخر.
- يُفضَّل أن يبدأ الدخول من جهة Elbiيُحال الشخص إلى مزوّدكم ومعه طلب، ثم يعود باستجابة موقّعة على ذلك الطلب تحديداً. والدخول الذي يبدأ من مزوّد الخدمة مفضّل عموماً، لأن الاستجابة المرتبطة بطلب معيّن أصعب في إعادة الاستخدام من استجابة تصل دون طلب.
- التأكيد يُفحص قبل استخدامهيُلزم SAML مزوّد الخدمة بالتحقق من التوقيع مقابل الشهادة الواردة في بياناتكم الوصفية، وبفحص الجمهور المقصود ونافذة الصلاحية. وهذه النافذة قصيرة، فلا بد أن تكون الساعات في الطرفين دقيقة.
- السمات تحمل الصلاحيةيحمل التأكيد ما ضُبط مزوّدكم لإرساله — عادةً معرّفاً ثابتاً واسماً ومجموعة أو إدارة — ولا يُرسَل شيء لا تسمح به قواعد الإفصاح لدى المزوّد.
- التغييرات تصل مع الدخول التالييسلّم SAML السمات عند الدخول لا بصورة مستمرة، فتغيير مجموعة أو إيقاف حساب يسري مع الدخول التالي. ولهذا يستحق طول جلسات Elbi أن يُتفق عليه مع فريق الهوية.
- لا حسابات تُجهَّزSAML يعرّف الأشخاص ولا ينشئ حسابات. وElbi لا يحتفظ بقائمة مستخدمين خاصة به، فلا شيء يُجهَّز أو يُلغى، ويبقى مزوّد الهوية المكان الوحيد الذي يُمنح فيه الوصول أو يُسحب.
النطاق والتحكم في علاقة الثقة عبر SAML
تنتقل التأكيدات من مزوّد الهوية لديكم إلى Elbi ولا تذهب إلى غيره. يقرؤها Elbi، ولا ينشئ حسابات ولا يغيّرها ولا يديرها.
والصلاحية تتبع السمات الواردة في كل تأكيد. وأغلب مزوّدي الهوية يتيحون قصر الدخول إلى مزوّد خدمة معيّن على مستخدمين محددين، فمن هو خارج مجموعة التجربة يرفضه مزوّدكم مباشرة.
وتقوم الثقة على الشهادات لا على كلمة مرور مشتركة. شهادة التوقيع لدى مزوّدكم تجدّدونها أنتم، وتعطيل مدخل Elbi أو حذفه في المزوّد ينهي كل دخول في الحال.
والسمات تحدّد ما يجوز الإجابة عنه في المحادثة الجارية وحدها. ويُتلف محتوى الرسائل خلال 24 ساعة، وعادةً عند إغلاق المحادثة، ولا يصل إلى أي خدمة ذكاء اصطناعي خارجية. ويسجّل مزوّدكم كل دخول إلى Elbi، ويمكن لـ Elbi أن يسجّل الهوية المؤكَّدة التي جرى كل استعلام باسمها، فيكتمل الأثر من الطرفين.
وإذا توقف المزوّد فشل الدخول الجديد، واكتفى Elbi بما لا يحتاج إلى هوية. ولا يُعاد استخدام تأكيد منتهٍ.
ما الذي يحلّ محلّه هذا
ما يحلّ محلّه هذا هو حساب منفصل لكل نظام. وهي ممارسة تُنتج ثلاث مشكلات معاً: كلمات مرور إضافية يعيد المستخدمون تعيينها باستمرار، وقوائم صلاحيات تتباعد، وحسابات معلّقة لمن غادر.
والمشكلة الثالثة أخطرها وأقلها ظهوراً. النظام الذي يملك قائمة مستخدمين خاصة به يحتاج مراجعة دورية منفصلة، وهذه المراجعة أول ما يُهمل.
والدخول الموحّد يزيل الثلاثة دفعة واحدة، وهو أحد أوضح التحسينات الأمنية عائداً على الجهد.
حيث يكون الدخول الموحّد عبر SAML هو المعتاد
المؤسسات الكبيرة
أنظمة كثيرة ومصدر هوية واحد.
القطاعات المنظَّمة
معيار مقبول في المراجعات دون نقاش طويل.
القطاع الحكومي
متطلبات هوية صارمة وحياد المزوّد ميزة.
التعليم
جمهور كبير ومتغيّر موسمياً.
الصحة
فصل صلاحيات دقيق بحسب الدور.
تقنية المعلومات
إيقاف واحد يقطع الوصول من كل مكان.
كيف تستفيدون من ربط SAML
المؤسسات التي تعتمد الدخول الموحّد منذ مدة لديها عادةً قائمة طويلة من التطبيقات خلف الدخول نفسه، وإضافة Elbi إليها عمل إعدادات لا مشروع. فالسؤال الحقيقي ليس الاتصال بل أي سؤال شخصي يُفتح أولاً، وأفضل المرشحين السؤال الذي يطرحه الموظفون اليوم على زميل لأن روبوت المحادثة لا يعرف من هم.
ثم انظروا فيما يرسله مزوّدكم لتطبيقات أخرى. فمجموعة السمات نفسها — معرّف واسم وبريد ومجموعات في الغالب — كثيراً ما يمكن إعادة استخدامها، وإعادة استخدام مجموعة سبق اعتمادها تختصر المراجعة الأمنية. ولا تستحق السمات الجديدة الإضافة إلا حين يحتاجها جواب بعينه.
وأخيراً، اجعلوا سمات المجموعات ذات معنى. فإرسال كل مجموعة ينتمي إليها الشخص يضخّم التأكيدات ويجعل القواعد عسيرة القراءة، وقائمة مرشّحة أو عدد قليل من المجموعات المنشأة للمساعد يُبقي الأمرين تحت السيطرة.
ما الذي يتطلبه ربط SAML 2.0
- تبادل البيانات الوصفيةتُستورد بيانات Elbi الوصفية إلى مزوّد الهوية، وتُسلَّم بيانات مزوّدكم في المقابل. والعمل من ملفات البيانات الوصفية بدل إدخال القيم يدوياً يتجنب أكثر أخطاء الإعداد شيوعاً.
- اختيار معرّف الاسممعرّف دائم ثابت لا بريد إلكتروني قد يتغيّر، فبه يُعرف الشخص نفسه من جلسة إلى أخرى.
- تحديد السمات المُرسَلةيُضبط بدقة ما يرسله مزوّدكم إلى Elbi — قواعد المطالبات في AD FS، أو ربط السمات في أغلب المنتجات الأخرى — ولا شيء بعده.
- تقييد من يدخليُقصر الوصول على مجموعة التجربة داخل مزوّدكم، فيُرفض غيرهم قبل أن يصدر أي تأكيد.
- التخطيط لتجديد الشهادةشهادات التوقيع تنتهي. سجّلوا تاريخ الانتهاء، واتفقوا على طريقة نشر الشهادة الجديدة قبل سقوط القديمة، حتى لا يتعطل الدخول في ذلك اليوم.
- اختبار حالات الفشلمستخدم خارج المجموعة المسموح لها، وسمة مفقودة، وساعة غير متزامنة، وجلسة تتجاوز عمر حساب أُوقف. كل حالة يجب أن تنتهي برسالة واضحة لا بصفحة خطأ فارغة.
إرسال السمات ونظام حماية البيانات الشخصية
تأكيد SAML حزمة صغيرة من البيانات الشخصية عن صاحبها: معرّف على الأقل، واسم وبريد في الغالب، وكثيراً الإدارة والمسمّى الوظيفي والمجموعات. وبحسب نظام حماية البيانات الشخصية، فإرسال كل سمة إلى تطبيق آخر قرار معالجة يحتاج إلى غرض.
ومزوّدو الهوية مصمَّمون لهذا التحكم تحديداً، إذ يُضبط الإفصاح عن السمات لكل مزوّد خدمة على حدة، فيتلقى Elbi مجموعة أضيق مما تتلقاه بوابة الموارد البشرية مثلاً. وسؤال المراجعة بسيط: أي جواب يحتاج كل سمة في القائمة؟
ويتيح SAML كذلك تشفير التأكيدات إلى جانب توقيعها، فلا تُقرأ محتوياتها وهي تمرّ عبر المتصفح. واشتراط ذلك مع Elbi بند مناسب للمراجعة نفسها.
SAML مقارنةً بالطرق الأخرى لتعريف الأشخاص
يؤدي OpenID Connect الوظيفة نفسها بآلية أخف، ويناسب تطبيقات الجوال بصورة أطبع. وكثير من مزوّدي الهوية يقدّمون الاثنين، والاختيار يعود عادةً إلى ما يشغّله فريقكم أصلاً وما يقبله مراجعو الأمن لديكم.
وعبارة «الدخول الموحّد» في وصف المنتجات كثيراً ما تشير إلى لوحة الإدارة. وعند المقارنة بين المساعدات يستحق أن يُسأل تحديداً: هل يُعرَّف الشخص الذي يحادث المساعد — لا المسؤول وحده — عبر منظومة الدخول الموحّد لديكم؟
والبديل عن الاثنين دخول منفصل للمساعد. سريع في الإعداد، لكنه يعيد كل ما جاء الدخول الموحّد لإزالته: كلمة مرور أخرى، وقائمة مستخدمين أخرى، وحساب آخر يجب تذكّره حين يغادر أحد.
ما الذي يتغيّر مع ربط SAML
أسئلة متكررة
المعيار محايد بحكم تصميمه، وهذه ميزته الأساسية. ما يُتفق عليه هو السمات المرسَلة لا المنتج نفسه.
لا. المساعد لا يملك كلمات مرور ولا حسابات خاصة به، وهذا مقصود.
الهوية والدور أو المجموعة عادة. القائمة تُحدَّد صراحة ويُتفق عليها قبل الربط.
إنهاء الجلسة يتبع سياستكم كما هي معرّفة في المزوّد.
لا يحتفظ بقائمة مستخدمين. الهوية تصل مع كل تأكيد وتُستخدم لتحديد ما يجوز الإجابة عنه، ومحتوى الرسائل يُتلف خلال 24 ساعة، وغالباً عند انتهاء المحادثة.
كلاهما مقبول والاختيار عملي لا مبدئي: ما تديرونه بالفعل وما يقبله فريق الأمن لديكم أسرع.
أضيفوا Elbi إلى منظومة الدخول الموحّد التي تثقون بها
مزوّد خدمة إضافي خلف دخولكم الحالي، يجيب بالعربية والإنجليزية ضمن السمات التي ترسلونها.