Les cadres et normes d'authentification et d'autorisation les plus connus dans le domaine de la gestion des identités et des accès (IAM) sont OAuth, OpenID Connect (OIDC) et SAML (Security Assertion Markup Language).
La principale différence entre ces normes est qu'OAuth, désormais connu sous le nom d'OAuth 2.0, est un cadre d'autorisation utilisé pour protéger des ressources spécifiques, telles que des applications ou des ensembles de fichiers, tandis que les SAML et OIDC sont des normes d'authentification utilisées pour créer des expériences de connexion sécurisées.
Le SAML (Security Assertion Markup Language) est une norme de fédération ouverte qui permet la connexion unique (SSO). C'est la norme la plus ancienne des trois et la plus couramment utilisée par les entreprises pour permettre à leurs utilisateurs d'accéder à des applications et services web qu'ils paient. Salesforce et Gmail sont des exemples d'applications auxquelles les employés accèdent après avoir réussi une connexion SAML.
Le SAML est un cadre basé sur XML, ce qui signifie qu'il est extrêmement flexible, peut être utilisé sur n'importe quelle plateforme et peut être transmis par divers protocoles, y compris HTTP et SMTP. Les informations d'authentification sont échangées entre les fournisseurs d'identité et les prestataires de services pour vérifier l'identité et les autorisations de l'utilisateur, puis pour accorder ou refuser l'accès aux applications.
Largement utilisé dans les organisations d'entreprise, le SAML a été créé pour prendre en charge la SSO pour les applications et services basés sur un navigateur. Il ne prend pas en charge la SSO pour les applications mobiles ou les applications qui accèdent aux ressources via l'API.
OAuth, désormais connu sous le nom d'OAuth 2.0, est un cadre standard ouvert pour l'autorisation des API. Il est important de noter qu'OAuth est un protocole d'autorisation et non d'authentification, mais les informations concernant l'utilisateur peuvent être utilisées à des fins d'autorisation. Il définit comment un client d'API peut obtenir des jetons de sécurité contenant un ensemble d'autorisations pour les ressources disponibles via cette API.
Au lieu d'exiger qu'un utilisateur partage ses identifiants de connexion avec une application pour permettre à cette application d'accéder à une autre, OAuth délègue les décisions d'autorisation à un serveur d'autorisation distinct qui héberge le compte utilisateur. En bref, OAuth agit au nom de l'utilisateur, en fournissant un accès délégué à un service tiers sans que l'utilisateur n'expose ses informations d'identification à ce tiers.
Peut-être que la chose la plus importante à comprendre est qu'OAuth n'est pas un protocole d'authentification. Par exemple, OAuth ne définit pas de format de jeton spécifique ni d'ensemble commun de champs d'application pour le jeton d'accès. Il n'aborde pas non plus la façon dont une ressource protégée valide un jeton d'accès.
OAuth prend également en charge les cas d'utilisation de service à service et d'appareil à service, contrairement au SAML.
Le protocole OpenID Connect (OIDC) ajoute un niveau d'authentification et d'identité à OAuth 2.0 et est l'un des protocoles de sécurité les plus récents disponibles. Comme OAuth, il délègue l'authentification de l'utilisateur au fournisseur de services qui héberge le compte de l'utilisateur et autorise les applications tierces à accéder au compte de l'utilisateur. Mais l'OIDC offre également un accès aux applications mobiles, aux API et aux applications basées sur un navigateur.
Chaque fois que les utilisateurs se connectent à une application ou à un service utilisant l'OIDC, ils sont redirigés vers leur fournisseur OpenID, où ils s'authentifient, puis sont redirigés vers l'application ou le service.
Utilisez l'OIDC quand :
Vous créez une nouvelle application de A à Z. Surtout si vous souhaitez que votre application soit disponible sur des appareils mobiles.
Vous souhaitez définir ce qu'un utilisateur peut faire dans une application une fois son authentification effectuée.
Les JWT seront plus adaptés que le XML.
Lancez-vous dès Aujourd'hui
Contactez-Nous
Découvrez comment Ping peut vous aider à offrir des expériences sécurisées aux employés, partenaires et clients dans un monde numérique en constante évolution.
Démonstration Gratuite