SAML QoA Spezifikation

Bisher mussten die Applikationsowner die genauen Authentifizierungsmethoden (Passwort, mTAN, AuthApp, Vasco, Kerberos, Smartcard, Mobile ID, FIDO Sicherheitsschlüssel) auswählen, welche der Benutzer für den Zugriff auf die Anwendung verwenden konnten.

Mit dem neuen QoA Konzept kann die entsprechende QoA Klasse direkt im SAML "authnRequest" spezifizieren werden, damit eröffnet sich die Möglichkeit dem Benutzer alle Authentifizierungsmethoden, die mindestens diesem QoA Level entsprechen, zu präsentieren.

Die Informationen betreffend dem QoA Konzept finden Sie unter: Qualität der Authentifizierung (QoA) Das QoA Konzept . . .

eIAM "AuthnContextClasses"

Dies sind die neuen "AuthnContextClasses" um eine Authentifizierung eines Benutzers anzufordern:

Authentication Level
AuthnContextClasses
QoA10
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:10
QoA20
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:20
QoA30
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:30
QoA40
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:40
QoA50
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:50
QoA51
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:51
QoA60
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:60

Beispiel eines SAML Authentifizierungsanfrage "authnRequest"


Um einen bestimmten QoA Level in einem SAML authnRequest anzufordern, muss man eine AuthnContextClassRef (Zeile 26 bis 30 im obigen Beispiel) zur Anfrage hinzufügen. Wir betrachten den angeforderten QoA Level als Minimum. Wenn der Benutzer einen höheren Level erreicht, akzeptieren wir diesen und informieren die Anwendung in der Antwort.

Beispiel der "SAML-Response"