Estoy en una organización de proveedores de servicios que admite la autenticación de terceros de CAS y shibboleth. Estoy analizando los requisitos para cumplir con la línea de base baja de FedRamp (consulte el libro de trabajo de Controles de seguridad de FedRAMP y NIST SP 800-53r4) y tengo en cuenta el requisito de que "IA-2 (12) Identificación y autenticación (usuarios de la organización) | Aceptación de Las credenciales de PIV "incluyen la" Tarjeta de acceso común (CAC), es decir, la implementación técnica del DoD de PIV / FIPS 201 / HSPD-12 ".
¿Existe un punto de integración simple en el lado de IDP / cliente en el que podamos abordar una solicitud de autenticación SAML 2 como parte de la implementación habitual de los sistemas CAC? ¿O necesitamos desarrollar algún flujo de autenticación alternativo para los usuarios de CAC?
Lo veo al mirar recursos del desarrollador del CAC cómo se utilizan las tarjetas para autenticarse en una estación de trabajo y para los clientes de software instalados en los sistemas.
He encontrado un powerpoint entusiasta que explica un servicio OMB que actúa como una puerta de enlace CAC-SAML, uno menciona que el servicio, Autenticación máxima, recibió la aprobación de FedRAMP , pero ninguna otra evidencia es real. De hecho, para utilizar los servicios de Max se registra y recibe un correo electrónico que le indica cómo establecer su contraseña.
En una publicación de stackoverflow hay alguien que señala que " mi dominio usa tarjetas de acceso comunes con autenticación SAML " lo que implica que esta es una rueda que se ha inventado.
Gracias por tu consejo, Judith