Sono a un'organizzazione di provider di servizi che supporta l'autenticazione in stile shibboleth e CAS di terze parti. Sto osservando i requisiti per soddisfare la linea di base bassa di FedRamp (vedere la cartella di lavoro di Excel Control Security di FedRAMP e NIST SP 800-53r4) e notare il requisito che "IA-2 (12) Identificazione e autenticazione (Utenti organizzativi) | Le credenziali PIV "include" Common Access Card (CAC), ovvero l'implementazione tecnica DoD di PIV / FIPS 201 / HSPD-12. "
Esiste un semplice punto di integrazione sul lato IDP / cliente al quale possiamo indirizzare una richiesta di autenticazione SAML 2 come parte della normale implementazione dei sistemi CAC? O abbiamo bisogno di sviluppare un flusso di autenticazione alternativo per gli utenti CAC?
Vedo guardando le risorse per sviluppatori CAC come le carte vengono utilizzate per l'autenticazione in una workstation e per i client software installati sui sistemi.
Ho trovato un powerpoint entusiasta che spiega un servizio OMB che funge da gateway CAC-SAML, una menzione che il servizio, Max Authentication, ha ricevuto l'approvazione FedRAMP , ma nessun'altra evidenza è reale. Infatti, per utilizzare i servizi Max registrati e ricevi una email che ti dice come impostare la tua password.
C'è un post StackOverflow dove qualcuno nota che " il mio dominio utilizza le schede di accesso comune con autenticazione SAML " che implica che si tratta di una ruota che è stata inventata.
Grazie per il tuo consiglio, Judith