מהו SAML?
SAML או Security Assertion Markup Language הוא פרוטוקול תקשורת מבוסס XML המאפשר אימות זהות
(authentication) והרשאה (authorization) באופן מאובטח בין ספק זהות (IdP או Identity Provider)
לספק שירות (SP או Service Provider).
פרוטוקול SAML פותח על ידי ארגון OASIS ומשמש רבות ביישומים ארגוניים, במיוחד בתחום ה־SSO (Single Sign-On).
במילים פשוטות, SAML מאפשר למשתמש להתחבר פעם אחת למערכת אחת (כגון Active Directory, Okta, Azure AD)
ומשם לגשת למערכות נוספות (כגון Salesforce, Zoho, Office 365) מבלי להזין סיסמה שוב בכל פעם.
איך SAML עובד?
שלושת המרכיבים העיקריים:
User (משתמש) – האדם או היישום שמנסה לגשת לשירות.
Identity Provider (IdP) – גוף שמנהל את זהות המשתמשים ומאמת את זהותם (למשל Azure AD).
Service Provider (SP) – שירות חיצוני שדורש אימות לפני מתן גישה (למשל Google Workspace או Salesforce).
תהליך אימות בסיסי ב־SAML:
המשתמש מנסה לגשת ל־Service Provider (למשל יישום אינטרנט).
ה־SP מפנה את המשתמש ל־IdP עם בקשת אימות (AuthnRequest).
ה־IdP מאמת את זהות המשתמש (למשל, באמצעות סיסמה, MFA וכו’).
אם האימות הצליח, ה־IdP שולח ל־SP תגובת SAML חתומה דיגיטלית המכילה Assertion – מעין “הצהרת זהות”.
ה־SP קורא את ההצהרה, מאמת את החתימה, ומאפשר גישה למשתמש.
שימושים עיקריים של SAML
Single Sign-On (SSO): התחברות אחת למגוון מערכות ארגוניות.
אבטחת זהות בסביבות ענן: חיבור בין Azure AD, AWS, Salesforce, Zoom ועוד.
שיתוף גישה בין ארגונים: תשתית זהויות משותפת בין גופים שונים.
יתרונות SAML
אבטחה גבוהה – עם חתימות דיגיטליות, תוקף מוגבל ואימות דו־שלבי.
תמיכה רחבה בתעשייה – סטנדרט נפוץ הנתמך על ידי רוב מערכות הענן הארגוניות.
חוויית משתמש חלקה – התחברות אחת ללא צורך לזכור סיסמאות רבות.
שליטה ארגונית מרכזית – ניהול גישה והרשאות ממוקד דרך ה־IdP.
אתגרים ומגבלות של SAML
מורכבות הטמעה – נדרשת הגדרה מדויקת בין IdP ל־SP, כולל תעודות חתימה, URIs, תזמון ועוד.
תלות בפרוטוקול XML – נחשב כבד יחסית לפרוטוקולים מודרניים כמו OAuth 2.0.
חוסר גמישות ב־Mobile – פחות מותאם לאפליקציות ניידות בהשוואה ל־OpenID Connect.
רגולציה ותקינה של SAML
בישראל, מערכות המשתמשות ב־SAML (כגון מערכות בריאות, חינוך וממשלה) נדרשות לעמוד בתקנים מחמירים
של אבטחת מידע, לרבות תקן ISO 27001, תקנות הגנת הפרטיות (GDPR/חוק הגנת הפרטיות),
ולעיתים גם תקנות ייעודיות של מערך הסייבר הלאומי.
שאלות ותשובות בנושא SAML
מה ההבדל בין SAML ל־OAuth 2.0?
SAML נועד לאימות זהות ומיועד בעיקר לארגונים ו־SSO.
OAuth 2.0 נועד לאישור גישה (authorization) ומותאם יותר לאפליקציות ניידות ו־API.
האם ניתן להשתמש ב־SAML יחד עם MFA?
כן. MFA (אימות דו־שלבי) מתבצע לרוב בצד ה־IdP, לפני שליחת תגובת ה־SAML ל־SP.
איך מאמתים את תגובת ה־SAML?
באמצעות חתימה דיגיטלית (X.509) שמצורפת ל־SAML Assertion, ובאמצעות אימות התעודה
מול מפתח ציבורי מוסכם מראש.
מה ההשלכות של תקלה ב־IdP?
אם ה־IdP אינו זמין אף משתמש לא יוכל לגשת לשום SP המחובר אליו. לכן, יש חשיבות לזמינות גבוהה ו־failover.
