האם Microsoft Entra ID יכול לתמוך ב-SAML וב-OIDC בו-זמנית?

כן, Microsoft Entra ID תומך במלואו בשני הפרוטוקולים. ארגונים מפעילים באופן שגרתי SAML עבור יישומי ארגון מדור קודם לצד OIDC עבור תוכנות ענן מודרניות, בתוך אותו דייר.

SAML לעומת OpenID Connect: בחירת הפרוטוקול הנכון עבור Microsoft Entra ID

Q: מהו ההבדל הטכני העיקרי בין SAML ל-OpenID Connect?

SAML משתמש ב-XML כדי לארוז נתוני אימות וטענות (claims), ולכן הוא כבד ומורכב יותר. לעומת זאת, OpenID Connect משתמש ב-JSON Web Tokens (JWT) מעל OAuth 2.0, ומעניק חוויית פיתוח קלה ומהירה יותר.

Q: מתי ארגון צריך לבחור ב-OpenID Connect במקום ב-SAML?

ארגונים כדאי שיבחרו ב-OpenID Connect כאשר הם בונים או משלבים אפליקציות אינטרנט מודרניות, יישומי עמוד יחיד (SPA) ואפליקציות לנייד, שדורשים החלפת טוקנים מהירה וקלה ומימוש פשוט למפתחים.

Q: האם בחירה ב-SAML במקום ב-OIDC פוגעת באבטחה ב-Microsoft Entra ID?

לא. שני הפרוטוקולים מאובטחים כאשר הם מוגדרים כראוי. עם זאת, האבטחה שלהם נשענת במידה רבה על אימות רב-שלבי (MFA) חזק ועל הגנה על טוקנים מפני גניבה או חטיפת הפעלה (session hijacking).

By Mirko Peters · 2026-10-30

השוו בין הפרוטוקולים SAML ל-OpenID Connect (OIDC) ב-Microsoft Entra ID. למדו על ההבדלים הטכניים המרכזיים, על מקרי השימוש ועל מתי כדאי לבחור בכל תקן.

Automatically translated with AI from the original post. Read the English original

Cover: Single Sign-On (SSO) - Simply Explained

SAML ו-OpenID Connect (OIDC) הם שני פרוטוקולי האימות המרכזיים שמאחורי כניסה יחידה (SSO) ארגונית ב-Microsoft Entra ID. הבחירה בפרוטוקול הנכון תלויה בגיל האפליקציה, בדרישות הארכיטקטורה ובתהליכי העבודה של המפתחים, ומאזנת בין תאימות לתוכנות ארגוניות מדור קודם לבין תקני הפיתוח המודרניים מבוססי הענן.

עיקרי הדברים

SAML הוא פרוטוקול ארגוני מבוסס XML, המתאים במיוחד ליישומים ותוכנות ישנות ומדור קודם.
OpenID Connect (OIDC) הוא פרוטוקול קל משקל מבוסס JSON, הבנוי מעל OAuth 2.0 ומיועד לאפליקציות אינטרנט ולנייד מודרניות.
Microsoft Entra ID תומך מובנית בשני הפרוטוקולים, ומאפשר למנהלים לאבטח בו-זמנית כלים ישנים וחדשים.
גניבת טוקנים וגניבת אישורי גישה הם וקטורי התקיפה העיקריים לשני הפרוטוקולים, ולכן נדרשות מדיניות MFA חזקה.
הבחירה בין SAML ל-OIDC תלויה בתאימות היישום, במידת המודרניות של הפיתוח ובכללי הציות הארגוניים.

הבנת SAML בארגונים

Security Assertion Markup Language, המכונה בדרך כלל SAML, היה במשך יותר מעשור סוס העבודה הבלתי מעורער של מערכות הכניסה הארגוניות. כאשר ארגונים גדולים נזקקו לדרך שתאפשר לעובדים לגשת לעשרות מערכות פנימיות וחיצוניות בלי להקליד סיסמאות שוב and שוב, SAML סיפק את המסגרת החזקה שנדרשה לטיפול באינטגרציה מורכבת עם מדריכי משתמשים.

בליבתו, SAML עוטף הודעות אימות וטענות משתמש בתוך מבנה נפוח ומובנה מאוד הנקרא XML. למרות ש-XML מעורר תסכול אצל מפתחים בשל הפרolixיות שלו, הוא מצטיין בנשיאת כמויות גדולות של מידע מפורט על המשתמש. בתגובת SAML טיפוסית, הטוקן יכול להעביר את המחלקה המדויקת של העובד, תפקידו, מבנה הארגון, חברויות בקבוצות אבטחה ורמות הסיווג הספציפיות שלו. ספקי תוכנה ארגוניים גדולים בנו את הפלטפורמות שלהם סביב יכולת זו, משום שמחלקות IT ארגוניות דרשו שליטה מפורטת בהרשאות המשתמשים כבר בשער הכניסה.

עבור מנהלי Microsoft Entra ID, SAML מופיע לעתים קרובות בעת שילוב יישומים ישנים מקומיים, מערכות ERP מתמחות או פלטפורמות SaaS ארגוניות שקדמו לעידן הענן שמותאם מראש לנייד. אם מערכת ישנה תומכת רק ב-SAML, או אם מסגרות ציות מחמירות וחוזי רכש מחייבים את השימוש בו, המנהלים מגדירים חיבור SAML ליישום ארגוני מהגלריה כדי לשמור על תאימות.

עלייתו של OpenID Connect ליישומים מודרניים

כאשר התוכנה עברה מהתקנות שולחניות מונוליתיות ליישומי אינטרנט מבוססי ענן, ליישומי עמוד יחיד (SPA) ולאפליקציות לנייד, מבנה ה-XML הכבד של SAML התברר כמסורבל מדי לפיתוח מהיר. כך נולד OpenID Connect, המקוצר באופן אוניברסלי כ-OIDC.

OIDC בנוי ישירות מעל OAuth 2.0, ומפריד בין אימות (הוכחה מי אתה) לבין הרשאה (הכרעה למה יש לך גישה). במקום קבצי XML כבדים, OIDC אורז טענות ומידע זהות לתוך JSON Web Tokens (JWT) קומפקטיים. התכנון הקל הזה הופך את OIDC לקל במיוחד לשילוב עבור מפתחים מודרניים בתוך מסגרות אינטרנט ונייד.

כאשר אתם משתמשים ב-Microsoft Entra ID כדי להתחבר לכלי SaaS מודרני או ליישום ענן שפותח בהתאמה אישית, OIDC מנהל מאחורי הקלעים את החלפת הטוקנים. מפתחים מעדיפים את OIDC משום שהוא משתלב באופן טבעי בארכיטקטורת האינטרנט המודרנית, צורך פחות משאבי רשת ומפענח במהירות בסביבות דפדפן. ברירת המחדל של Microsoft לפיתוח יישומי ענן חדשים ממליצה במפורש על OIDC, בזכות הגמישות שלו והשילוב החלק עם מחסנית הפיתוח המודרנית.

השוואה בין ארכיטקטורות SAML ו-OIDC

הערכת SAML לעומת OpenID Connect דורשת מבט מעבר לראשי התיבות, ובחינה של אופן העברת הנתונים, התאימות ליישומים והעומס הניהולי. דימוי מועיל הוא לראות ב-SAML מסמך משפטי רשמי ועמוס בחותמות, שנשלח בדואר רשום, ואילו OIDC דומה להודעת טקסט מוצפנת ומהירה, שנשלחת מיידית למכשיר נייד.

הטבלה שלהלן מסכמת את ההבדלים הארכיטקטוניים העיקריים:

פורמט הנתונים: SAML משתמש ב-XML; OIDC משתמש ב-JSON (JWT).
מסגרת הבסיס: SAML עומד בפני עצמו; OIDC בנוי על גבי OAuth 2.0.
מקרה השימוש העיקרי: SAML מתאים לארגונים מסורתיים ולשירותי SaaS מדור קודם; OIDC מניע יישומי אינטרנט, מובייל ויישומי עמוד יחיד (SPA) מודרניים.
מורכבות לפיתוח: SAML דורש פענוח מעמיק של הפרוטוקול; OIDC מציע שילוב API קל ואינטואיטיבי.

למרות ההבדלים הללו, אף אחד מהפרוטוקולים אינו עדיף מטבעו. שניהם מייצגים פתרונות שנבנו לתקופות שונות בפיתוח תוכנה. ארגונים רבים מנהלים סביבות היברידיות, שבהן כלים מדור קודם מסתמכים על SAML, ואילו יישומי ענן חדשים משתמשים ב-OIDC. שני הפרוטוקולים פועלים זה לצד זה ב-Microsoft Entra ID ללא התנגשות.

היבטי אבטחה וניהול טוקנים

ללא קשר לשאלה אם הארגון שלכם מתקנן על SAML או על OIDC, עמדת האבטחה הבסיסית נשענת כולה על אימות הטוקנים ועל ניהול מחזור החיים שלהם. בארכיטקטורת כניסה יחידה מודרנית, הנכס היקר ביותר שתוקף יכול לכוון אליו אינו סיסמה סטטית, אלא טוקן פעיל של הסשן.

מכיוון שטוקנים מעניקים גישה ישירה מעבר לשער האימות בלי לבקש שוב פרטי כניסה, תוקפים מתוחכמים משתמשים בערכות פישינג ובהתקפות מסוג adversary-in-the-middle כדי ליירט טוקנים פעילים. כדי להפחית סיכון זה ב-Microsoft Entra ID, מנהלים חייבים לאכוף מדיניות חזקה של אימות מרובה גורמים (MFA), להשתמש ב-Conditional Access לבחינת עמידת המכשיר בדרישות הציות, ולוודא שאורך החיים של הטוקנים מוגדר בהתאם.

טוקני גישה וטוקני ID קצרי מועד בכוונה, ולרוב ברירת המחדל שלהם היא כשעה. לכן היישומים נדרשים להסתמך על טוקני רענון או על בדיקות אימות חוזרות כדי לשמור על סשנים של משתמשים באופן מאובטח. בין אם מנתחים הצהרות XML ב-SAML ובין אם מאמתים הצהרות JSON ב-OIDC, היישום חייב לבדוק בקפדנות את החתימות הקריפטוגרפיות מול אישורי ספק הזהויות המהימנים, כדי למנוע זיוף.

סיכום

הבנת הניואנסים בין SAML ל-OpenID Connect חיונית לכל ארכיטקט ענן או מנהל IT שמנהל זהויות ב-Microsoft Entra ID. גם כאשר הוויכוחים על פרוטוקולים נעשים סוערים, הבנת ההבדלים הטכניים מאפשרת לצוותים לקבל החלטות ארכיטקטוניות פרגמטיות, המבוססות על תאימות יישומים ועל דרישות אבטחה. כדי להעמיק בעקרונות הרחבים של ספקי זהויות, במחזורי החיים של טוקנים ובאבטחת ענן מודרנית, האזינו לפרק המלא והירשמו לפודקאסט לתובנות מומחים נוספות על מערכת Microsoft 365.

שאלות נפוצות

מהו ההבדל הטכני העיקרי בין SAML ל-OpenID Connect?

SAML משתמש ב-XML כדי לארוז נתוני אימות והצהרות, ולכן הוא כבד ומורכב יותר. לעומתו, OpenID Connect משתמש ב-JSON Web Tokens (JWT) מעל OAuth 2.0, ומספק חוויית פיתוח קלה ומהירה יותר.

האם Microsoft Entra ID יכול לטפל ב-SAML וב-OIDC בו זמנית?

כן, Microsoft Entra ID תומך במלואו בשני הפרוטוקולים. ארגונים מריצים באופן שוטף SAML ליישומי ארגון מדור קודם לצד OIDC ליישומי ענן מודרניים, באותו דייר.

מתי ארגון צריך לבחור ב-OpenID Connect במקום ב-SAML?

ארגונים צריכים לבחור ב-OpenID Connect בעת בניית או שילוב של יישומי אינטרנט מודרניים, יישומי עמוד יחיד (SPA) ואפליקציות לנייד, שדורשים החלפת אסימונים מהירה וקלה ומימוש פשוט למפתחים.

האם בחירה ב-SAML במקום ב-OIDC פוגעת באבטחה ב-Microsoft Entra ID?

לא, שני הפרוטוקולים מאובטחים כאשר הם מוגדרים כראוי. עם זאת, האבטחה שלהם תלויה במידה רבה באימות רב-שלבי (MFA) חזק ובהגנה על אסימונים מפני גניבה או חטיפת הפעלה.