Un utilisateur souhaite s’authentifier sur un forum Internet. Après avoir saisi un identifiant et un mot de passe valides, le navigateur de l’utilisateur reçoit la réponse http suivante :
HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
"sub" : "ID298765155291",
"groupIds" : "users",
"given_name" : "Marko",
"name" : "Mark Knopfler",
"email" : "mk@music-forum.com",
"picture" : "https://www.music-forum.com/images/mk.jpg"
}
Quel est le protocole ou standard IAM mis en œuvre sur ce site internet ?
[A] OIDC (OpenID Connect)
[B] SPML (Service Provisioning Markup Language)
[C] SAML (Security Assertion Markup Language)
[D] XACML (eXtensible Access Control Markup Language)
SPML est une norme OASIS pour l’échange d’informations utilisateurs pour le SSO et la fédération d’identité fédérée. SPML est à la fois un langage de balisage de provisionnement de services (XML) et un protocole de demande/réponse pour l’échange de demandes de provisionnement d’utilisateurs, de comptes et de ressources.
XACML est un langage pour définir des autorisations ou des contrôles d’accès basés sur des attributs. Il permet de définir des contrôles d’accès à un point de décision PDP (Policy Decision Point) puis de les transmettre à un point d’application PEP (Policy Enforcement Point).
SAML est une norme OASIS pour la gestion des identités fédérées. Elle permet de gérer l’authentification et l’autorisation via des assertions SAML échangées entre un fournisseur d’identité (IdP) et une partie utilisatrice (RP) . 57% des participants sur Linkedin ont choisit la réponse SAML. Hors dans SAML, les assertions sont au format XML et on ne voit pas de balises XML dans la réponse http reçue par le navigateur mais une structure JSON. La bonne réponse ne peut donc pas être SAML.
OIDC (OpenID Connect) est une couche d’authentification développée par l’OpenID foundation qui s’appuie sur OAuth 2.0. OpenID Connect permet la gestion des authentifications via des jetons JWT (JSON Web Token) au format JSON. La réponse http indiquée dans la question contient un jeton JWT.
La bonne réponse est la proposition [A] OIDC (OpenID Connect)
Questions et réponses rédigées par VERISAFE selon le programme officiel du CISSP actuellement en vigueur
© VERISAFE – Utilisation ou reproduction (même partielle) strictement interdite sans l’accord écrit de VERISAFE
