SAML или OpenID Connect: какой протокол выбрать для Microsoft Entra ID

Q: Когда организации стоит выбрать OpenID Connect вместо SAML?

OpenID Connect стоит выбирать при разработке или интеграции современных веб-приложений, одностраничных приложений (SPA) и мобильных приложений, которым требуется быстрый и легковесный обмен токенами и упрощённая реализация для разработчиков.

By Mirko Peters · 2026-10-30

Сравните протоколы SAML и OpenID Connect (OIDC) в Microsoft Entra ID. Узнайте ключевые технические различия, сценарии использования и когда стоит выбрать каждый из стандартов.

Automatically translated with AI from the original post. Read the English original

Cover: Single Sign-On (SSO) - Simply Explained

SAML и OpenID Connect (OIDC) — два основных протокола аутентификации, которые обеспечивают корпоративный единый вход (single sign-on) в Microsoft Entra ID. Выбор правильного протокола зависит от возраста приложения, архитектурных требований и рабочих процессов разработчиков, и нужно найти баланс между совместимостью с устаревшим корпоративным ПО и современными стандартами облачной разработки.

Главное

SAML — корпоративный протокол на основе XML, идеально подходящий для старых приложений и устаревшего ПО.
OpenID Connect (OIDC) — легковесный протокол на основе JSON, построенный поверх OAuth 2.0 и предназначенный для современных веб- и мобильных приложений.
Microsoft Entra ID изначально поддерживает оба протокола, позволяя администраторам одновременно защищать устаревшие и современные инструменты.
Кража токенов и компрометация учётных данных — основные векторы атак для обоих протоколов, поэтому необходимы надёжные политики MFA.
Выбор между SAML и OIDC зависит от совместимости приложений, степени модернизации разработки и требований корпоративного соответствия нормативам.

Понимание SAML в корпоративной среде

Security Assertion Markup Language, широко известный как SAML, более десяти лет остаётся безусловной рабочей лошадкой корпоративных систем входа. Когда крупным компаниям понадобился способ дать сотрудникам доступ к десяткам внутренних и внешних систем без постоянного ввода паролей, SAML предоставил надёжную основу, необходимую для работы со сложной интеграцией каталогов.

По своей сути SAML оборачивает сообщения аутентификации и утверждения о пользователе в громоздкий, строго структурированный формат под названием XML. Хотя многословность XML вызывает недовольство разработчиков, он хорошо справляется с передачей большого объёма подробной информации о пользователе. В типичном ответе SAML токен может содержать точный отдел сотрудника, его должность, организационную иерархию, членство в группах безопасности и конкретные уровни допуска. Крупные разработчики корпоративного ПО строили свои платформы вокруг этой возможности, поскольку ИТ-подразделения компаний требовали детального контроля над разрешениями пользователей прямо на этапе входа.

Для администраторов Microsoft Entra ID SAML часто встречается при интеграции старых локальных приложений, специализированных ERP-систем или корпоративных SaaS-платформ, появившихся до эры облачных мобильных решений. Если старая система работает только с SAML или если строгие нормативные требования и условия закупочных контрактов предписывают его использование, администраторы настраивают подключение SAML-приложения из галереи корпоративных приложений, чтобы сохранить совместимость.

Рост OpenID Connect для современных приложений

По мере того как программное обеспечение перешло от монолитных настольных установок к облачным веб-приложениям, одностраничным приложениям (SPA) и мобильным приложениям, громоздкая XML-структура SAML оказалась слишком неудобной для быстрой разработки. Так появился OpenID Connect, общепринятое сокращение — OIDC.

OIDC построен непосредственно поверх OAuth 2.0 и отделяет аутентификацию (подтверждение того, кто вы) от авторизации (определение того, к чему вам разрешён доступ). Вместо громоздких XML-файлов OIDC упаковывает утверждения и данные об идентичности в компактные JSON Web Tokens (JWT). Такая легковесная конструкция делает OIDC исключительно простым для современных разработчиков в интеграции с веб- и мобильными фреймворками.

Когда вы используете Microsoft Entra ID для входа в современное SaaS-приложение или самостоятельно разработанное облачное приложение, OIDC управляет обменом токенами за кулисами. Разработчики предпочитают OIDC, потому что он естественно вписывается в современную веб-архитектуру, потребляет меньше сетевых ресурсов и быстро обрабатывается в браузерной среде. Рекомендации Microsoft по умолчанию для разработки новых облачных приложений прямо советуют OIDC за его гибкость и бесшовную интеграцию с современными стеками разработки.

Сравнение архитектур SAML и OIDC

Чтобы оценить SAML и OpenID Connect, нужно смотреть не на аббревиатуры, а на то, как они передают данные, насколько хорошо совместимы с приложениями и какие административные издержки создают. Наглядно SAML можно представить как официальный юридический документ с печатями, доставленный заказным письмом, а OIDC — как быстрое зашифрованное сообщение, мгновенно отправленное на мобильное устройство.

В таблице ниже приведены ключевые архитектурные различия:

Формат данных: SAML использует XML; OIDC использует JSON (JWT).
Базовая платформа: SAML — самостоятельный протокол; OIDC построен на основе OAuth 2.0.
Основной сценарий использования: SAML подходит для традиционных корпоративных и устаревших SaaS-приложений; OIDC лежит в основе современных веб-, мобильных и одностраничных приложений.
Сложность для разработчиков: SAML требует глубокого разбора протокола; OIDC предлагает легковесную и интуитивно понятную интеграцию через API.

Несмотря на эти различия, ни один из протоколов не является изначально лучше другого. Они просто представляют решения, созданные для разных эпох разработки ПО. Многие организации поддерживают гибридные среды, где устаревшие инструменты используют SAML, а новые облачные приложения — OIDC, и оба протокола работают параллельно в Microsoft Entra ID без конфликтов.

Последствия для безопасности и управление токенами

Независимо от того, какой протокол — SAML или OIDC — стандартизирует ваша организация, базовая защита полностью зависит от проверки токенов и управления их жизненным циклом. В современной архитектуре единого входа самый ценный актив для атакующего — уже не статический пароль, а действующий сеансовый токен.

Поскольку токены дают прямой доступ после прохождения аутентификации без повторного запроса учетных данных, продвинутые злоумышленники используют фишинговые наборы и атаки «человек посередине», чтобы перехватывать действующие токены. Чтобы снизить этот риск в Microsoft Entra ID, администраторы должны применять надежные политики многофакторной аутентификации (MFA), использовать условный доступ для оценки соответствия устройств и корректно ограничивать срок действия токенов.

Токены доступа и ID-токены намеренно короткоживущие — по умолчанию обычно около одного часа, — поэтому приложениям приходится использовать токены обновления или повторную проверку аутентификации, чтобы безопасно поддерживать пользовательские сеансы. Независимо от того, разбирается ли XML-утверждение в SAML или проверяются ли JSON-утверждения в OIDC, приложение обязано строго проверять криптографические подписи по доверенным сертификатам поставщика удостоверений, чтобы предотвратить подделку.

Заключение

Разобраться в тонкостях SAML и OpenID Connect необходимо любому облачному архитектору или ИТ-администратору, который управляет идентификацией в Microsoft Entra ID. Споры о протоколах могут быть горячими, но понимание технических различий помогает командам принимать взвешенные архитектурные решения с учетом совместимости приложений и требований безопасности. Чтобы глубже разобраться в механике поставщиков удостоверений, жизненных циклах токенов и современной безопасности облака, обязательно послушайте полный выпуск и подписывайтесь на подкаст, чтобы получать больше экспертных материалов об экосистеме Microsoft 365.

Часто задаваемые вопросы

В чём главное техническое различие между SAML и OpenID Connect?

SAML использует XML для упаковки данных аутентификации и утверждений, из-за чего он громоздче и сложнее, тогда как OpenID Connect использует JSON Web Tokens (JWT) поверх OAuth 2.0 и обеспечивает более легкий и быстрый опыт для разработчиков.

Может ли Microsoft Entra ID одновременно работать с SAML и OIDC?

Да, Microsoft Entra ID полностью поддерживает оба протокола. Организации регулярно используют SAML для устаревших корпоративных приложений наряду с OIDC для современного облачно-нативного ПО в рамках одного клиента.

Когда организации стоит выбирать OpenID Connect вместо SAML?

Организациям стоит выбирать OpenID Connect при разработке или интеграции современных веб-приложений, одностраничных приложений (SPA) и мобильных приложений, которым нужен быстрый и облегчённый обмен токенами и упрощённая реализация для разработчиков.

Не ухудшает ли выбор SAML вместо OIDC безопасность в Microsoft Entra ID?

Нет, оба протокола безопасны при правильной настройке. Однако их безопасность во многом зависит от надёжной многофакторной аутентификации (MFA) и защиты токенов от кражи или перехвата сеанса.