SAML-Decoder & Builder

SAML (Sicherheit Assertion Markup Language) is an XML-based standard for exchanging authentifizierung and autorisierung data between parties. It enables Single Sign-On (SSO) by allowing an Identitätsanbieter (IdP) to authenticate users and pass identity information to a Service Provider (SP).

Die heute am häufigsten verwendete Version ist SAML 2.0, die Folgendes unterstützt:

• IdP-Initiated SSO: Benutzer startet beim IdP und wird zum SP umgeleitet
• SP-Initiated SSO: Benutzer startet beim SP, wird zur Authentifizierung zum IdP umgeleitet und dann zurück zum SP
• Single Logout (SLO): Beenden Sie Sitzungen über alle verbundenen Anwendungen hinweg

SAMLRequest (AuthnRequest): Vom Service Provider an den Identity Provider gesendet, um die Authentifizierung zu initiieren. Es ist normalerweise Base64-kodiert UND deflate-komprimiert, wenn es über HTTP Redirect Binding gesendet wird.

SAMLResponse: Sent by the Identitätsanbieter back to the Service Provider after successful authentifizierung. Contains the SAML Assertion with user identity and attributes. Usually only Base64-encoded (not compressed) when sent via HTTP POST binding.

Dieses Tool erkennt automatisch, welchen Typ Sie dekodieren, und wendet die entsprechende Dekompression an.

Eine SAML-Assertion ist die Kernkomponente, die Identitätsinformationen trägt:

• Issuer: Die Entität, die die Assertion erstellt hat (normalerweise der IdP)
• Subject/NameID: Die Kennung des authentifizierten Benutzers
• Conditions: Validity constraints (NotBefore, NotOnOrAfter, AudienceRestriction)
• AuthnStatement: When and how the user authenticated
• AttributeStatement: User attributes (email, roles, groups, etc.)
• Signature: Digital signature for integrity verification

When debugging SAML Integrations, watch for these common issues:

• Clock Skew: NotBefore/NotOnOrAfter-Validierung schlägt fehl aufgrund von Zeitunterschieden zwischen IdP und SP
• Zielgruppen-Nichtübereinstimmung: Die SP-Entitäts-ID stimmt nicht mit der AudienceRestriction in der Assertion überein
• Ungültige Signatur: Zertifikat-Mismatch oder XML-Kanonisierungsprobleme
• Ziel-Nichtübereinstimmung: Die ACS-URL stimmt nicht mit dem Destination-Attribut überein
• Fehlende erforderliche Attribute: SP erwartet Attribute, die der IdP nicht bereitstellt