NIST：NIST SP 800-63C-4：数字身份指南——联邦和断言（2025） 151页

这份NIST SP 800 - 63C - 4文档围绕数字身份指南中的联邦身份验证展开，核心内容如下： 1. **联邦基础**：介绍联邦身份验证，即用户通过身份提供商（IdP）向依赖方（RP）验证身份，无需RP直接验证用户认证器。阐述相关术语及文档结构。定义联邦保障级别（FAL），从FAL1到FAL3安全性递增，各级别有受众限制、重放保护等特定要求。 2. **通用要求**：联邦交易涉及信任协议、标识符与密钥建立、联邦协议三要素。介绍通用IdP和用户控制钱包两种联邦模型及相关角色。强调信任协议的多方关系及建立方式，涵盖双边和多边协议。阐述联邦标识符及成对假名标识符的生成和使用。规定各参与方需建立安全连接，管理密钥并确保信息传输安全。 3. **通用IdP**：CSP将用户账户预配置到通用IdP，用户通过认证器向IdP认证，IdP创建断言给RP以建立会话。信任协议需提前建立或由用户在交易时决定。RP要与IdP进行发现和注册。IdP通过允许列表、阻止列表和运行时决策决定是否发放断言和属性。RP用户账户有即时、预配置和临时等供应模型。同时，还涉及属性同步、供应API及会话管理等内容。 4. **用户控制钱包**：CSP向用户控制钱包发放属性包，钱包作为IdP与RP进行联邦交易。信任协议下，用户为授权方，通过运行时决策管理属性发布。钱包激活需用户提供激活因子，密钥应安全存储。RP需确定CSP的属性包验证密钥，交易决策由用户决定，断言内容有特定要求，RP验证断言并管理用户账户。 5. **威胁与隐私**：总结联邦身份验证的威胁，如断言制造或修改等，并给出相应缓解策略。强调通过技术手段减少对用户的追踪和分析，获取用户明确同意并最小化数据传输。联邦交易可能触发相关隐私法案，机构需咨询隐私官员确保合规。代理联邦中的盲化技术可保护用户隐私，但有局限性。 6. **客户体验与示例**：从可用性和客户成功角度，为提升用户体验，建议减少用户负担，提供清晰易懂信息等。列举多种联邦场景示例，如不同FAL下的协议应用、机构与IdP的直接连接等，展示如何满足文档要求。