SAML 2.0 y LDAP

Con single sign-on, las aplicaciones no gestionan contraseñas: delegan la autenticación en un proveedor de identidad (IdP) en el que confían. Cuando entras en una app, esta te redirige al IdP; si ya tenías sesión abierta allí, vuelves al instante con una prueba firmada de quién eres.

Para la empresa, las ventajas son enormes: una sola contraseña que proteger con MFA, un único sitio donde dar de alta y de baja, y un registro central de quién entra en qué. Para el usuario, menos contraseñas que recordar.

El corazón de SAML es la aserción (assertion): un documento XML que el IdP genera tras autenticar al usuario. Dice quién es (NameID), quién la emite (Issuer), para qué aplicación es (Audience), durante cuánto tiempo vale (Conditions) y, opcionalmente, atributos como el departamento o los grupos.

La aserción va firmada con XML Signature usando la clave privada del IdP, y el SP la verifica con el certificado público del IdP que configuró de antemano. El documento viaja a través del navegador del usuario, normalmente en un formulario que se envía solo por POST a la URL del SP llamada ACS (Assertion Consumer Service).

El usuario abre directamente app.ejemplo.com. La app no sabe quién es, así que genera un AuthnRequest (petición de autenticación) y redirige el navegador al IdP. El IdP autentica al usuario, si no tenía ya sesión, y devuelve la respuesta con la aserción a la URL ACS de la app.

La respuesta lleva un InResponseTo que coincide con el id de la petición, así que la app sabe que responde a algo que ella pidió. El parámetro RelayState sirve para recordar a qué página quería ir el usuario.

Muchas empresas ofrecen un portal con un icono por cada aplicación. Al pulsar uno, el IdP genera directamente una respuesta SAML y la envía a la URL ACS de la app, sin que la app haya pedido nada. Es cómodo para el usuario: todas sus herramientas en una sola página.

Antes de que funcione el primer inicio de sesión, el IdP y el SP tienen que conocerse. Cada uno publica sus metadatos: un documento XML con su identificador único (entityID), sus URLs (la de inicio de sesión del IdP, la ACS del SP) y los certificados con los que firma.

Lo normal es intercambiar las URLs de metadatos en lugar de copiar valores a mano. Así, cuando el IdP renueva su certificado, el SP puede leer el nuevo de los metadatos.

LDAP (Lightweight Directory Access Protocol) es el protocolo estándar para leer y modificar directorios. Los datos forman un árbol, el DIT (Directory Information Tree): en la raíz va el dominio de la empresa, debajo unidades organizativas como personas o grupos, y en las hojas, cada usuario.

Cada entrada se identifica por su DN (Distinguished Name), la ruta desde la hoja hasta la raíz: uid=ana,ou=personas,dc=empresa,dc=com. Cada entrada tiene atributos (cn, mail, telephoneNumber) y una o más objectClass que dicen qué atributos admite.

La operación bind autentica la conexión: envías un DN y su contraseña, y el directorio responde si son correctos. Muchas apps antiguas verifican así el login: buscan el DN del usuario por su email con una cuenta de servicio y después hacen bind con ese DN y la contraseña que ha escrito.

Las búsquedas indican una base (desde qué rama), un alcance y un filtro entre paréntesis con el operador delante: (&(a)(b)) es «a y b», (|(a)(b)) es «a o b», (!(a)) es «no a», y * funciona como comodín: (cn=Ana*).

Active Directory (AD) es el servicio de directorio de Microsoft, presente en la mayoría de empresas con equipos Windows. Organiza usuarios, grupos y equipos en dominios, que se agrupan en bosques, y lo sirven unos servidores llamados controladores de dominio. Con las directivas de grupo (Group Policy) se configuran a la vez miles de equipos.

AD habla LDAP, así que cualquier herramienta LDAP puede consultarlo, y usa Kerberos para autenticar: al iniciar sesión en un equipo del dominio recibes un ticket con el que entras en carpetas compartidas, impresoras y apps internas sin volver a escribir la contraseña. Para federarse con aplicaciones web por SAML, se apoya en servicios como AD FS o en Microsoft Entra ID, que verás en la próxima lección.