F5 APM : SAML : SP, IdP et logout

Le Service Provider demande une identité pour donner accès à son service. L’Identity Provider authentifie et produit une assertion. APM peut remplir l’un ou l’autre rôle dans les scénarios documentés. Les connectors et services locaux décrivent ces relations.

Entity ID, endpoints, certificats, attributs et horodatages doivent être cohérents. Une signature valide ne dispense pas de vérifier audience et destination attendues ; l’assertion doit appartenir à la relation de confiance prévue.

SP-initiated et IdP-initiated commencent le parcours à des endroits différents. Le navigateur transporte les échanges selon les bindings retenus, puis le SP établit sa session locale. Le NameID et les attributs doivent permettre l’autorisation attendue.

Fermer une session locale ne ferme pas automatiquement toutes les sessions de la fédération. Si SLO est utilisé, vérifiez sa prise en charge et ses endpoints des deux côtés. Testez renouvellement de certificat, expiration et connexion depuis chacun des points d’entrée prévus.

Ces repères permettent de relier le besoin à la configuration et aux observations. Comparer les objets réellement attachés au service avant de modifier un réglage.

Après renouvellement du certificat IdP, le login échoue sur le SP. Comparez les métadonnées et le certificat de vérification avant de modifier les groupes. La confiance de l’assertion et l’autorisation de la ressource sont deux étapes distinctes.

Expliquez la décision du schéma, puis recherchez dans la référence les objets qui la produisent. Pour APM, justifiez aussi ce qui changerait si un prérequis échouait : une réponse DNS, une décision WAF et une autorisation d’accès ne se vérifient pas au même endroit.

Revenir au parcours F5 APM pour lire les guides voisins et leurs exemples.