OpenID Connect适用于物联网吗？

Question

我正在研究我的硕士论文的认证和授权协议，我发现可能最好的两个替代方案是 OpenID Connect 和 SAML 2.0 （实际上，欧洲，SAML我公司4年前参与的项目叫SENSEI）。

论文的目的是扩展现有的物联网系统，该系统基本上是从数百万个传感器获取信息的流的目录，并提供AAA（包括会计），将其转换为实际的流市场人们可能会付钱订阅一些流。

到目前为止，我认为OpenID Connect将是一个比Sensei和SAML更好的选择。原因是大量的信息，文档，图书馆和支持该标准的公司。也更适合开发人员和最近。但是，我阅读了 OWASP in this article

撰写的以下段落

  

虽然OpenId占据了大部分消费市场，但SAML往往是   企业应用程序的选择。其原因通常是这样   很少考虑OpenId身份提供商   企业级（意味着他们验证用户身份的方式）   没有企业标识所要求的高标准。它是   更常见的是在内部网站内部使用SAML，   有时甚至使用来自Intranet的服务器作为身份   提供商。

所以我想知道您是否可以帮我解决以下问题：

1. 您是否认为SAML可能更适合像我这样的企业项目？ OpenID是否更加面向用户？
2. 我还要考虑有关传感器的信任模型，以确保它们是可靠的信息来源。因此，您认为使用相同的协议是一个好主意：1）想要登录系统的用户和2）应该证明他们是非伪造数据的可靠来源的设备？
3. 与上一期相关，如果我可以使用OpenID Connect设备，如何在没有电子邮件或密码的情况下对其进行身份验证？我在UUID中考虑作为标识符，但我被告知这不是一个好主意，也在this StackOverflow thread上阅读相同内容。
4. 有没有人知道在系统中是否存在任何众所周知的协议来处理或支持会计？据我所知，OpenID Connect支持会话管理，但不支持100％会计。

提前致谢。

Answer 1

我不确定我能在这里回答你所有的问题......但是根据我的经验和知识，我会尽我所能。并且，我会说你对这个问题有点模糊（也许你需要，以免暴露你十亿美元的想法）。因此，我的答案确实（不可否认）更可能被视为一个讨论点，也许是一个＆＃34;答案＆＃34;。

OIDC（OpenID Connect）是新的，IoT（物联网）也是如此。企业很少出现优势，除非被更大的企业合作伙伴拖入其中并引发尖叫。话虽如此，OIDC建立在OAuth2.0之上，因此它有了解，企业真正处于接收阶段（IMO），以及许多购买的平台（如我的公司）在[目前的草案-1]中支持它。

我认为重要的是要指出SAML或OIDC都不是＆＃34;身份验证＆＃34;。它是一种基于标准的方法，通过该方法，您可以将属性从身份验证点传送到需要知道谁或连接到哪个应用程序点的应用程序点。您的用户可以通过一种方式连接您的传感器＆＃34;另一个。或者两者都有。或许相反。如果您要构建下一个万亿美元的社交媒体网站，您是否希望限制用户加入的方式？

关于你关于OIDC和传感器的问题...我建议使用基于证书的身份验证系统，如果这些事情真的只是自己坐在那里。但是，OIDC（和SAML）实际上并不是一个认证系统。它没有做前线＆＃34;通过身份验证 - 它提供了一种方法，通过该方法，可以根据与受信任合作伙伴的经过验证的声明将身份传递给依赖方。 UUID可能是＆＃34;用户名＆＃34;的最佳选择。该设备，但它肯定不应该是＆＃34;密码＆＃34;。

最后，我不太确定你在会计方面要求的是什么。您是否希望向用户收取访问您的IoT设备流的费用，例如微交易（有趣的概念，如果是这样）。同样，SAML和OIDC都没有提供这样的东西，至少就我所知。会计（和计费）必须内置到应用程序中。

HTH - 安迪