由于作为服务软件的越来越多，更多的机构开始倾向于面向服务架构（SOA），这种环境往往是攻击者的主要目标。这种趋势要求特别设计的技术解决安全性问题，接下来我将描述由安全性断言标志语言（SAML）阐释的方法。

　　SAML是在OASIS指导下开发的标准。OASIS管理一系列广泛的标准，这些标准和XML以及像WS-*和SGML这样的Web服务有关。SAML这如其首字母缩略词所显示的那样，通过XML或者HTML标识语言强制执行安全性，使其成为广泛安全方案的一部分。

　　使用SAML的最新领域包括由自由联盟计划开发的单一登录计划，本质上和开发ID项目很相似——例如通过WS-Security在基于SOAP服务中使用的通用领域。理解SAML的关键是要理解其断言机制，该断言机制是语言的基石。列表1-1展示了一个SAML断言。

　　<saml:Assertion
　　   IssueInstant="2008-10-15T12:00:00Z">
　　   <saml:Issuer Format=urn:oasis:names:SAML:2.0:nameid-format:entity>
　　     http://www.acme.org
　　   </saml:Issuer>
　　   <saml:Subject>
　　     <saml:NameID
　　       Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">
         j.smith@acme.org
     </saml:NameID>
   </saml:Subject>
   <saml:Conditions
     NotBefore="2008-10-15T12:00:00Z"
     NotOnOrAfter="2008-10-15T12:10:00Z">
   </saml:Conditions>
   <saml:AuthnStatement
     AuthnInstant="2008-10-15T12:00:00Z" SessionIndex="67775277772">
     <saml:AuthnContext>
       <saml:AuthnContextClassRef>
         urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport
       </saml:AuthnContextClassRef>
     </saml:AuthnContext>
   </saml:AuthnStatement>
 </saml:Assertion>

　　在最后一个列表中，你可以看到，SAML断言包含了很多安全语句，这些语句都和一个主题有关。一个断言的价值可以体现在各个方面，范围从基本要素（例如就某个主题做出断言的人）延伸到更为细致的话题（例如一个断言的时间有效的和日期，甚至还包括令断言更为严格的附加条件）。

　　SAML当局â（提供断言方）和SAML依赖方（要求断言）之间交换断言。依照交换的性质，第三方或者“被断言方”也会参与进来。第三方满足单一登录方案，在该方案中“被断言方”是一个企图访问资源的终端用户，主管SAML当局和SAML依赖方交换。对于其它SAML交换来说，“被断言方”不过是组成SAML依赖方的应用逻辑。

　　要想将SAML融入到SOA安全方案，主要取决于其平台中立性。例如早期SAML断言<NameSubject>中的<NameID>要素。在这个实例中，断言是通过电子邮箱做出的，但是这只是其中的一种情况。SAML同样也支持像X.509或者Kerberos这样的身份，这在企业设置中是很常见的，因此这些身份可以在一个特定的平台中屏蔽应用程序。

　　把这个相同的情况看做是单一注册方法；而不是将程序â“和用户â”锁定到电子邮件地址，基于SAML的架构准许“被断言方”提供凭证，例如数字签名证书（X.509）或者Kerberos，准许安全策略建立在更为广阔的或者已经存在的安全基础设施中。

　　实际上最主要的安全性问题“这一方真是其所宣称的那样吗？”，是通过SAML来回答的，而不是通过某一个特定平台来回答的，这些平台总有特有的方法断言（例如超时值设定的，失败的条件）。SAML会将这个断言过程标准化。

　　我们再看一下含有SOAP服务的案例场景，列表1-2展示了一个嵌入在SOAP请求中的SAML代码片段。

　　  <？xml version="1.0" encoding="UTF-8"？>
　　  <env:Envelope
　　   
       
        ID="aaf23196-1773-2113-474a-fe114412ab72"
        Version="2.0"
        IssueInstant="2008-10-15T20:31:40Z">
        <saml:Issuer>http://example.sp.com</saml:Issuer>
        <saml:Subject>
           <saml:NameID
           Format="urn:oasis:names:tc:SAML:1.1:nameid-format:X509SubjectName">
            C=US， O=TECHTARGET-TEST， OU=User， CN=jsmith@acme.org
           </saml:NameID>
        </saml:Subject>
       <saml:Attribute
           NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
           Name="urn:oid:2.5.4.42"
           FriendlyName="givenName">
       </saml:Attribute>
      </samlp:AttributeQuery>
    </env:Body>
   </env:Envelope>

　　注意<NameID>值现在指向了X.509值。此外在客户服务器SOAP交换过程中还要执行安全性检查，但是因为断言是建立在SAML基础之上的，这需要松耦合和切换邮箱地址或者kerberos的功能（如果需要的话），这也是SOA最主要的目标。

　　那么在哪里SAML会融入到Open-ID，自由联盟和Web服务中呢？在每个应用程序栈â“markup â”底部，都会有SAML运行。因此你不可能在这样的项目中看到有明确提到这方面的内容，这些项目都是整体的办法解决安全性问题。但是SAML的颗粒度使其功能变得更为强大，可以处理各种各样涉及云计算的安全隐患。

　　目前有许多开放源SAML实施，进一步扩展了SAML的用途，远远超出了之前我们所说的那个项目。所以如果你的SOA项目也需要具有松耦合特性的安全检查，考虑一下SAML吧，它和XML一样，可以解决分布式系统安全问题。