YD/T 2094.7-2010 标准解读

一、标准适用范围与执行边界

• 本标准适用于支持SAML 2.0协议的单点登录（SSO）系统，主体包括身份提供方（IdP）、服务提供方（SP）及第三方元数据托管机构。
• 适用场景限定为跨域身份认证、联邦身份管理、企业级应用集成及政府云平台身份互通。
• 排除条件：非SAML 2.0协议实现、仅使用OAuth 2.0或OpenID Connect的系统、本地单机认证环境、无元数据交换的静态配置系统。
• 元数据文件必须由权威机构签发或经PKI体系验证，禁止手动编辑或非加密传输的元数据副本。

二、核心实操技术要求

1. 元数据文件格式必须符合XML Schema定义，根元素为<EntityDescriptor>，包含唯一entityID属性，格式为URI且不可重复。
2. 公钥证书必须以<KeyDescriptor use="signing">或<KeyDescriptor use="encryption">明确声明用途，证书格式为X.509 v3，密钥长度不低于2048位RSA或256位ECDSA。
3. 端点地址必须使用HTTPS协议，且证书必须由受信任CA签发，禁止自签名证书用于生产环境。
4. 元数据中<SingleSignOnService>与<SingleLogoutService>元素必须指定Binding属性，仅允许支持HTTP-Redirect与HTTP-POST绑定方式。
5. 元数据有效期不得超过24个月，过期前30日须完成更新并通知所有依赖方，更新后需通过SHA-256哈希校验文件完整性。
6. 元数据签名必须使用RSA-SHA256或ECDSA-SHA256算法，签名证书必须与元数据内嵌证书一致，且签名验证失败时系统应立即拒绝认证请求。
7. 所有元数据文件必须通过XML Signature验证，验证失败的文件不得加载至运行时配置。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：元数据更新导致服务中断——解决方案：实施双元数据并行策略，新旧版本共存72小时，通过<validUntil>字段控制生效时间，更新后设置延迟生效窗口。
• 难点2：证书轮换时签名验证失败——解决方案：在元数据中同时声明新旧两个<KeyDescriptor>，采用“先发布后淘汰”机制，旧证书保留至新证书生效后30天。
• 难点3：跨域时HTTPS证书不被信任——解决方案：所有SP与IdP必须部署由国家认可CA签发的证书，禁止使用Let’s Encrypt等免费证书用于生产级联邦环境。
• 难点4：元数据被篡改或中间人攻击——解决方案：部署元数据签名验证网关，所有元数据请求必须经HSM设备签名验证，禁止直接从公网下载未签名文件。
• 难点5：属性映射不一致导致断言解析失败——解决方案：在元数据中强制声明<Attribute>元素的NameFormat为urn:oasis:names:tc:SAML:2.0:attrname-format:uri，属性名称使用标准OID或预定义命名空间。
• 难点6：元数据文件体积过大影响加载性能——解决方案：限制单个EntityDescriptor内包含的SP/IdP数量不超过10个，大型联邦体应拆分为多个元数据文件，通过<Extensions>扩展引用分片元数据。