我是否必须使用电子邮件进行SAML身份验证

Question

首先，很抱歉这个新手问题！考虑到GDPR的所有问题，我想知道是否需要使用电子邮件进行SAML身份验证，或者是否可以使用用户名或其他唯一ID开发身份验证？目标是根本不处理电子邮件，但仍使用SAML。

Answer 1

我发现电子邮件的标识符选择不当，因为人们喜欢他们偶尔更改（婚姻，离婚等）。

SAML不需要使用任何特定的东西作为主题，而是将其保留为开放状态。此外，该协议还提供了假名名称标识符的概念-临时名称和永久名称。您可以在SAML Spec中的第3605至3654行之间看到它们。

最终，SAML是一种协议，它围绕如何传递您和您的伙伴相互同意的标识符的结构进行了包装。如果您根据目录对用户进行身份验证（他们仍然可以使用其电子邮件作为其IdP标识符），则向合作伙伴发送用户的UUID。只要他们可以使用该标识符（这样，您的用户就已经使用您目录中的UUID作为标识符被供应到SP中），则可以在断言中发送该标识符，而您并未违反规则和精神的GDPR。