SAML belirteci talep başvurusu

Microsoft kimlik platformu, her kimlik doğrulama akışının işlenmesinde birkaç tür güvenlik belirteci yayar. Bu belgede SAML 2.0 belirteçlerinin biçimi, güvenlik özellikleri ve içeriği açıklanmaktadır.

SAML belirteçlerindeki talepler

İsim	Eşdeğer JWT Talebi	Açıklama	Örnek
Seyirci	`aud`	Belirtecin hedeflenen alıcısı. Belirteci alan uygulamanın hedef kitle değerinin doğru olduğunu doğrulaması ve farklı bir hedef kitleye yönelik belirteçleri reddetmesi gerekir.	`<AudienceRestriction>` `<Audience>` `https://contoso.com` `</Audience>` `</AudienceRestriction>`
Kimlik Doğrulaması Anında		Kimlik doğrulamasının gerçekleştiği tarihi ve saati kaydeder.	`<AuthnStatement AuthnInstant="2011-12-29T05:35:22.000Z">`
Kimlik Doğrulama Yöntemi	`amr`	Belirtecin sahibinin kimliğinin nasıl doğrulandığını tanımlar.	`<AuthnContextClassRef>` `http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod/password` `</AuthnContextClassRef>`
İlk İsim	`given_name`	Microsoft Entra kullanıcı nesnesinde ayarlandığı gibi kullanıcının ilk veya "verilen" adını sağlar.	`<Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname">` `<AttributeValue>Frank<AttributeValue>`
Gruplar	`groups`	Konunun grup üyeliklerini temsil eden nesne kimlikleri sağlar. Bu değerler benzersizdir (bkz. Nesne Kimliği) ve bir kaynağa erişmek için yetkilendirme zorunlu kılma gibi erişimi yönetmek için güvenle kullanılabilir. Gruplar talebine dahil edilen gruplar, uygulama bildiriminin "groupMembershipClaims" özelliği aracılığıyla uygulama başına yapılandırılır. Null değeri tüm grupları dışlar, "SecurityGroup" değeri dizin rollerini ve Active Directory Güvenlik Grubu üyeliklerini içerir ve "Tümü" değeri hem Güvenlik Gruplarını hem de Microsoft 365 Dağıtım Listelerini içerir. Notlar: Kullanıcının içinde bulunduğu grup sayısı bir sınırın üzerindeyse (SAML için 150, JWT için 200) fazla kullanım talebi, kullanıcı için grupların listesini içeren Graph uç noktasına işaret eden talep kaynakları eklenir.	`<Attribute Name="http://schemas.microsoft.com/ws/2008/06/identity/claims/groups">` `<AttributeValueaaaaaaaa-0000-1111-2222-bbbbbbbbbbbb</AttributeValue>`
Gruplar Fazla Kullanım Göstergesi	`groups:src1`	Uzunluğu sınırlı olmayan ancak belirteç için hala çok büyük olan belirteç istekleri için, kullanıcının tam grup listesine bir bağlantı eklenir. SAML için bu, talebin `groups` yerine yeni bir talep olarak eklenir. Notlar: Azure AD Graph API'sinin yerini Microsoft Graph API'sini alır. Eşdeğer uç nokta hakkında daha fazla bilgi edinmek için bkz . kullanıcı: getMemberObjects.	`<Attribute Name=" http://schemas.microsoft.com/claims/groups.link">` `<AttributeValue>https://graph.windows.net/{tenantID}/users/{userID}/getMemberObjects<AttributeValue>`
Kimlik Sağlayıcısı	`idp`	Belirtecin öznesinin kimliğini doğrulayan kimlik sağlayıcısını kaydeder. Bu değer, kullanıcı hesabı verenden farklı bir kiracıda olmadığı sürece Veren talebi değeriyle aynıdır.	`<Attribute Name=" http://schemas.microsoft.com/identity/claims/identityprovider">` `<AttributeValue>https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/<AttributeValue>`
VerilenAyrı	`iat`	Belirtecin verildiği zamanı depolar. Genellikle belirtecin yeniliğini ölçmek için kullanılır.	`<Assertion ID="_d5ec7a9b-8d8f-4b44-8c94-9812612142be" IssueInstant="2014-01-06T20:20:23.085Z" Version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion">`
Sertifikayı veren	`iss`	Belirteci oluşturan ve döndüren güvenlik belirteci hizmetini (STS) tanımlar. Microsoft Entra Id'nin döndürdüğü belirteçlerde veren sts.windows.net. Veren talep değerindeki GUID, Microsoft Entra dizininin kiracı kimliğidir. Kiracı kimliği, dizinin sabit ve güvenilir bir tanımlayıcısıdır.	`<Issuer>https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/</Issuer>`
Soyadı	`family_name`	Microsoft Entra kullanıcı nesnesinde tanımlandığı gibi kullanıcının soyadını, soyadını veya aile adını sağlar.	`<Attribute Name=" http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">` `<AttributeValue>Miller<AttributeValue>`
İsim	`unique_name`	Belirtecin konusunu tanımlayan insan tarafından okunabilir bir değer sağlar. Bu değerin bir kiracı içinde benzersiz olması garanti değildir ve yalnızca görüntüleme amacıyla kullanılacak şekilde tasarlanmıştır.	`<Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name">` `<AttributeValue>frankm@contoso.com<AttributeValue>`
Nesne kimliği	`oid`	Microsoft Entra Id'de bir nesnenin benzersiz tanımlayıcısı içerir. Bu değer sabittir ve yeniden atanamaz veya yeniden kullanılamaz. Microsoft Entra Id sorgularındaki bir nesneyi tanımlamak için nesne kimliğini kullanın.	`<Attribute Name="http://schemas.microsoft.com/identity/claims/objectidentifier">` `<AttributeValue>bbbbbbbb-1111-2222-3333-cccccccccccc<AttributeValue>`
Görevler	`roles`	Konuya hem doğrudan hem de dolaylı olarak grup üyeliği aracılığıyla verilmiş olan ve rol tabanlı erişim denetimini zorunlu kılmak için kullanılabilen tüm uygulama rollerini temsil eder. Uygulama rolleri, uygulama bildiriminin `appRoles` özelliği aracılığıyla uygulama başına temelinde tanımlanır. `value` Her bir uygulama rolünün özelliği, rol talebinde görünen değerdir.	`<Attribute Name="http://schemas.microsoft.com/ws/2008/06/identity/claims/role">`
Konu	`sub`	Belirtecin, bir uygulamanın kullanıcısı gibi bilgileri onayladığı sorumluyu tanımlar. Konu her zaman Microsoft Entra ID'nin karşılaştığı SAML belirtecinde bulunur. NameID biçimine bağlı olarak, bu değer konuyu genel amaçlı yetkilendirme sisteminde tanımlamak için kullanılabilir (yetkilendirme için e-posta adresini kullanırken risklere bakın). `SubjectConfirmation` bir talep değildir. Belirtecin konusunun nasıl doğrulandığı açıklanır. `Bearer` , konunun belirtecin sahip olduğu tarafından onaylandığını gösterir.	`<Subject>` `<NameID>S40rgb3XjhFTv6EQTETkEzcgVmToHKRkZUIsJlmLdVc</NameID>` `<SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer" />` `</Subject>`
Kiracı Kimliği	`tid`	Belirteci veren dizin kiracısını tanımlayan sabit, yeniden kullanılamayan bir tanımlayıcı. Çok kiracılı bir uygulamada kiracıya özgü dizin kaynaklarına erişmek için bu değeri kullanabilirsiniz. Örneğin, Graph API'sine yapılan bir çağrıda kiracıyı tanımlamak için bu değeri kullanabilirsiniz.	`<Attribute Name="http://schemas.microsoft.com/identity/claims/tenantid">` `<AttributeValue>aaaabbbb-0000-cccc-1111-dddd2222eeee<AttributeValue>`
Belirteç Ömrü	`nbf`, `exp`	Belirtecin geçerli olduğu zaman aralığını tanımlar. Belirteci doğrulayan hizmet geçerli tarihin belirteç ömrü içinde olduğunu doğrulamalıdır, aksi halde belirteci reddetmelidir. Hizmet, Microsoft Entra Id ile hizmet arasındaki saat süresi ("zaman dengesizliği") farklarını hesaba eklemek için belirteç yaşam süresi aralığının beş dakika kadar ötesine izin verebilir.	`<Conditions` `NotBefore="2013-03-18T21:32:51.261Z"` `NotOnOrAfter="2013-03-18T22:32:51.261Z"` `>`

Örnek SAML Belirteci

Bu, tipik bir SAML belirtecinin bir örneğidir.

<?xml version="1.0" encoding="UTF-8"?>
<t:RequestSecurityTokenResponse xmlns:t="http://schemas.xmlsoap.org/ws/2005/02/trust">
    <t:Lifetime>
        <wsu:Created xmlns:wsu="https://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">2014-12-24T05:15:47.060Z</wsu:Created>
        <wsu:Expires xmlns:wsu="https://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">2014-12-24T06:15:47.060Z</wsu:Expires>
    </t:Lifetime>
    <wsp:AppliesTo xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy">
        <EndpointReference xmlns="https://www.w3.org/2005/08/addressing">
            <Address>https://contoso.onmicrosoft.com/MyWebApp</Address>
        </EndpointReference>
    </wsp:AppliesTo>
    <t:RequestedSecurityToken>
        <Assertion xmlns="urn:oasis:names:tc:SAML:2.0:assertion" ID="_aaaaaaaa-0b0b-1c1c-2d2d-333333333333" IssueInstant="2014-12-24T05:20:47.060Z" Version="2.0">
            <Issuer>https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/</Issuer>
            <ds:Signature xmlns:ds="https://www.w3.org/2000/09/xmldsig#">
                <ds:SignedInfo>
                    <ds:CanonicalizationMethod Algorithm="https://www.w3.org/2001/10/xml-exc-c14n#" />
                    <ds:SignatureMethod Algorithm="https://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
                    <ds:Reference URI="#_aaaaaaaa-0b0b-1c1c-2d2d-333333333333">
                        <ds:Transforms>
                            <ds:Transform Algorithm="https://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                            <ds:Transform Algorithm="https://www.w3.org/2001/10/xml-exc-c14n#" />
                        </ds:Transforms>
                        <ds:DigestMethod Algorithm="https://www.w3.org/2001/04/xmlenc#sha256" />
                        <ds:DigestValue>E3fH4iJ5kL6mN7oP8qR9sT0uV1wX2y/nDY=</ds:DigestValue>
                    </ds:Reference>
                </ds:SignedInfo>
                <ds:SignatureValue>aB1cD2eF3gH4i...J5kL6-mN7oP8qR==</ds:SignatureValue>
                <KeyInfo xmlns="https://www.w3.org/2000/09/xmldsig#">
                    <X509Data>
                        <X509Certificate>C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1w</X509Certificate>
                    </X509Data>
                </KeyInfo>
            </ds:Signature>
            <Subject>
                <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">m_H3naDei2LNxUmEcWd0BZlNi_jVET1pMLR6iQSuYmo</NameID>
                <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer" />
            </Subject>
            <Conditions NotBefore="2014-12-24T05:15:47.060Z" NotOnOrAfter="2014-12-24T06:15:47.060Z">
                <AudienceRestriction>
                    <Audience>https://contoso.onmicrosoft.com/MyWebApp</Audience>
                </AudienceRestriction>
            </Conditions>
            <AttributeStatement>
                <Attribute Name="http://schemas.microsoft.com/identity/claims/objectidentifier">
                    <AttributeValue>aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.microsoft.com/identity/claims/tenantid">
                    <AttributeValue>aaaabbbb-0000-cccc-1111-dddd2222eeee</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name">
                    <AttributeValue>sample.admin@contoso.onmicrosoft.com</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
                    <AttributeValue>Admin</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname">
                    <AttributeValue>Sample</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.microsoft.com/ws/2008/06/identity/claims/groups">
                    <AttributeValue>5581e43f-6096-41d4-8ffa-04e560bab39d</AttributeValue>
                    <AttributeValue>07dd8a89-bf6d-4e81-8844-230b77145381</AttributeValue>
                    <AttributeValue>0e129f4g-6b0a-4944-982d-f776000632af</AttributeValue>
                    <AttributeValue>3ee07328-52ef-4739-a89b-109708c22fb5</AttributeValue>
                    <AttributeValue>329k14b3-1851-4b94-947f-9a4dacb595f4</AttributeValue>
                    <AttributeValue>6e32c650-9b0a-4491-b429-6c60d2ca9a42</AttributeValue>
                    <AttributeValue>f3a169a7-9a58-4e8f-9d47-b70029v07424</AttributeValue>
                    <AttributeValue>8e2c86b2-b1ad-476d-9574-544d155aa6ff</AttributeValue>
                    <AttributeValue>1bf80264-ff24-4866-b22c-6212e5b9a847</AttributeValue>
                    <AttributeValue>4075f9c3-072d-4c32-b542-03e6bc678f3e</AttributeValue>
                    <AttributeValue>76f80527-f2cd-46f4-8c52-8jvd8bc749b1</AttributeValue>
                    <AttributeValue>0ba31460-44d0-42b5-b90c-47b3fcc48e35</AttributeValue>
                    <AttributeValue>edd41703-8652-4948-94a7-2d917bba7667</AttributeValue>
                </Attribute>
                <Attribute Name="http://schemas.microsoft.com/identity/claims/identityprovider">
                    <AttributeValue>https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/</AttributeValue>
                </Attribute>
            </AttributeStatement>
            <AuthnStatement AuthnInstant="2014-12-23T18:51:11.000Z">
                <AuthnContext>
                    <AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:Password</AuthnContextClassRef>
                </AuthnContext>
            </AuthnStatement>
        </Assertion>
    </t:RequestedSecurityToken>
    <t:RequestedAttachedReference>
        <SecurityTokenReference xmlns="https://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" xmlns:d3p1="https://docs.oasis-open.org/wss/oasis-wss-wssecurity-secext-1.1.xsd" d3p1:TokenType="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV2.0">
            <KeyIdentifier ValueType="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLID">_aaaaaaaa-0b0b-1c1c-2d2d-333333333333</KeyIdentifier>
        </SecurityTokenReference>
    </t:RequestedAttachedReference>
    <t:RequestedUnattachedReference>
        <SecurityTokenReference xmlns="https://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" xmlns:d3p1="https://docs.oasis-open.org/wss/oasis-wss-wssecurity-secext-1.1.xsd" d3p1:TokenType="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV2.0">
            <KeyIdentifier ValueType="http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLID">_aaaaaaaa-0b0b-1c1c-2d2d-333333333333</KeyIdentifier>
        </SecurityTokenReference>
    </t:RequestedUnattachedReference>
    <t:TokenType>http://docs.oasis-open.org/wss/oasis-wss-saml-token-profile-1.1#SAMLV2.0</t:TokenType>
    <t:RequestType>http://schemas.xmlsoap.org/ws/2005/02/trust/Issue</t:RequestType>
    <t:KeyType>http://schemas.xmlsoap.org/ws/2005/05/identity/NoProofKey</t:KeyType>
</t:RequestSecurityTokenResponse>

Sonraki Adımlar

Microsoft Graph API'sini kullanarak belirteç ömrü ilkesini yönetme hakkında daha fazla bilgi edinmek için bkz. Microsoft Entra ilkesi kaynağına genel bakış.
Uygulamanızın belirteçlerine özel ve isteğe bağlı talepler ekleyin.
SAML ile Tek Sign-On (SSO) kullanın.
Azure Tek Sign-Out SAML protokolunu kullanma

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2025-06-29