本文介绍如何用开源身份提供商Keycloak为Amazon QuickSight配置多端SSO。方案在Keycloak单一Realm下创建SAML和OIDC两个客户端，分别服务QuickSight Web和Desktop登录，共享用户体系。文章详述了部署Keycloak、配置HTTPS、SAML联合、OIDC集成及验证步骤，并给出生产环境安全建议，实现统一身份管理和灵活角色控制。

本文介绍自建IdP对接Amazon QuickSight双端SSO的实战方法：Desktop端使用OIDC+PKCE，Web端需新增SAML 2.0并发出AWS专用断言。需配置AWS侧SAML Provider和IAM Role，注意ARN的region留空，并确保SAML与OIDC共享会话避免二次登录。

本文介绍如何通过Microsoft Entra ID与AWS IAM Identity Center集成，实现Amazon QuickSight的统一身份认证。用户和组经SCIM 2.0自动同步，登录采用SAML 2.0，QuickSight Desktop通过OIDC直连Entra ID。按组自动映射Admin、Author、Reader角色，支持Pro版本。配置步骤包括启用Identity Center、创建应用、配置SAML和SCIM、订阅QuickSight并映射角色组，最后测试验证。

SAML单点登录（SSO）现已作为附加功能提供给所有Pro团队，支持主要身份提供商如Okta、Azure AD和Google Workspace。Pro计划的SAML SSO实现了安全的集中访问控制，无需合同。

GitHub在SAML身份验证方面进行了重要改进，采用ruby-saml库以增强安全性。通过A/B测试和架构验证，减少了攻击面并提高了信任度。同时，实施双解析策略以降低单一漏洞的影响，确保了更高的安全性和可维护性。

多因素认证（MFA）已不再安全，攻击者通过疲劳攻击、会话劫持和利用SAML/SSO信任关系绕过MFA。疲劳攻击迫使用户误操作，获取凭证后可轻易劫持会话。企业应加强安全策略，采用FIDO2替代推送MFA，并缩短令牌有效期。

SAML（安全断言标记语言）是一种基于XML的标准，用于身份提供者（IdP）与服务提供者（SP）之间的安全认证和授权。它与单点登录（SSO）和OAuth相关，简化用户登录流程并增强安全性。SAML通过数字签名和加密确保数据的完整性和机密性，是现代云环境中的重要安全技术。

SAML 2.0、OAuth 2.0和OpenID Connect是身份验证和授权的协议。SAML适用于企业单点登录，OAuth用于API授权，而OIDC结合了身份验证和授权，适合现代应用。OIDC因其轻量和对移动应用的支持，逐渐取代SAML。

使用SAML实现单点登录（SSO）可提升安全性和用户体验，但测试过程常面临复杂配置、调试耗时、缺乏工具和安全隐患等挑战。为此，推出了免费的SAML测试工具，简化配置并提供即时调试和安全检查，帮助开发者和IT专业人员高效解决问题。

在ruby-saml 1.17.0及之前版本中发现了严重的身份验证绕过漏洞（CVE-2025-25291和CVE-2025-25292），攻击者可利用有效签名伪造SAML断言，冒充任意用户。建议用户更新至1.18.0版本并检查依赖库。GitHub和GitLab已被通知并采取措施。

SAML（安全断言标记语言）是一种基于XML的开放标准，允许用户通过单一凭证访问多个服务，简化身份管理。它通过身份提供者（IdP）与服务提供者（SP）之间的信任关系实现认证，支持单点登录（SSO），提高安全性和生产力，适用于企业和组织。

在数字世界中，安全访问应用至关重要。SSO允许用户一次登录多个应用；SAML适合企业SSO，OAuth用于第三方访问，OIDC在OAuth 2.0基础上提供身份验证。

SAML、OAuth和OpenID Connect是三种主要的认证和授权协议。SAML适合企业级单点登录，OAuth用于安全访问用户数据，而OpenID Connect在OAuth基础上提供认证。选择合适的协议需根据应用需求。

随着组织规模扩大，管理用户访问变得重要。GitLab通过SAML和SCIM提供用户身份验证和组管理解决方案。配置Microsoft Azure Entra ID与GitLab集成可实现单点登录和自动分配组权限，配置过程包括创建应用、设置SAML参数和用户属性映射等，以确保用户顺利登录并获得适当权限。

本文介绍了单点登录（SSO）及其关键组件主刷新令牌（PRT）。SSO允许用户通过单一凭证访问多个应用，提升便利性和安全性。主要协议包括SAML和OpenID Connect。PRT在用户登录时发放，支持无缝访问，并讨论了不同设备的身份验证及PRT的使用和生命周期。

在云安全领域，我们的AWS基础设施遇到认证问题，旧SAML提供商锁定了KMS密钥。通过找到一个旧角色恢复KMS访问，并将Keycloak设置为新的SAML提供商，成功更新了IAM身份提供商，重新获得了AWS控制台的访问。这次经历加深了团队对黑客策略的理解，并激发了进一步测试系统的兴趣。

GitLab每年邀请漏洞赏金猎人进行AMA，今年的嘉宾是专注于SAML和SSO研究的ahacker1。他使用RubyMine和AI工具进行分析，建议利用GitLab的开源特性进行代码分析，并分享了个人爱好及未来计划。

本章介绍如何在EC2实例上部署客户端应用程序，通过IAM认证连接Redshift数据库。内容包括网络准备、PowerShell配置、域加入、证书导入以及ODBC和JDBC配置，最终实现Java代码免用户连接Redshift，从而提高维护效率并降低运营成本。

本章介绍如何在亚马逊云中配置ADFS，创建idP和IAM角色ADFS-Dev，并为其附加Redshift和RDS的访问权限。通过Claim Role实现身份认证，用户bob可使用ADFS-Dev角色访问控制台和数据库。最后，展示如何在Java中设置连接Redshift的属性。