SAML 2.0 , produkt Komitetu Technicznego ds. Usług Bezpieczeństwa OASIS (SSTC), to oparta na języku XML platforma do ustanowienia logicznego połączenia między dwiema różnymi tożsamościami podmiotu, z których każda jest zarządzana przez innego SP. Informacje o tożsamości są wyrażane w postaci przenośnych potwierdzeń SAML, dzięki czemu aplikacje działające poza granicami domeny mogą sobie ufać. Struktura SAML 2.0 ma cztery warstwy, a mianowicie profil, wiązanie, protokołu i asercji, jak pokazano na rysunku
- Stwierdzenie to twierdzenie lub fakt wyrażony w przedmiocie. Asercja SAML to pakiet informacji wysyłanych podmiotowi przez dostawcę tożsamości, zawierający zestaw warunków, atrybutów i instrukcje uwierzytelniania. To stwierdzenie może następnie zostać wykorzystane przez RP do podjęcia decyzji w tej sprawie. Temat może mieć wiele atrybutów. Decyzja upoważniająca potwierdza, że podmiot może wykonać żądaną czynność w sytuacji określonej w oświadczeniu.
- Protokół SAML opisuje pary żądanie-odpowiedź służące do wymiany informacji związanych z SAML. Protokoły SAML są niezależne od bazowych protokołów transmisji danych, takich jak HTTP / HTTPS / SOAP.
- Powiązanie SAML opisuje mapowanie między protokołami SAML a standardowymi protokołami komunikacyjnymi (HTTP / SOAP). Na przykład hermetyzacja komunikatów protokołu SAML w formacie komunikatu SOAP.
- Profil SAML to połączenie potwierdzeń, protokołów i powiązań w celu obsługi zdefiniowanego przypadku użytkownika. Różne kombinacje pozwalają na różne implementacje tego samego profilu. Obecnie dostępnych jest kilka profili, na przykład profil SSO można zaimplementować jako oparty na sieci Web profil SSO, ulepszony klient lub profile proxy.
Oprócz tych strukturalnych komponentów, SAML 2.0 zawiera metadane i konteksty uwierzytelniania, jak pokazano na rysunku
Metadane opisują umowy potrzebne do ustanowienia relacji zaufania między dostawcami usług tożsamości i osobami odpowiedzialnymi. Na przykład metadane obejmują certyfikaty cyfrowe i powiązania, które mogą być używane przez dostawców tożsamości i RP. Konteksty uwierzytelniania dostarczają odpowiednich informacji o zdarzeniach uwierzytelniania