身份提供商（IdP）是一种存储和验证用户身份的服务。IdP 通常是云托管服务，常常与单点登录（SSO）提供程序搭配来验证用户的身份。
阅读本文后，您将能够：
复制文章链接
身份提供商 (IdP) 是一种存储和管理用户数字身份的服务。IdP 可以比作一种来宾名单，但适用的是数字和云托管应用程序，而不是活动。IdP 可以通过用户名密码组合和其他因素来检查用户身份，也可简单地提供用户身份列表供其他服务提供商（如 SSO）检查。
IdP 不仅限于验证人类用户。从技术上讲，IdP 可以验证连接到网络或系统的任何实体，包括计算机和其他设备在内。由 IdP 存储的任何实体称为“主体”（而非“用户”）。不过，IdP 最常在云计算中用于管理用户身份。
数字用户身份与可由计算机系统验证的可量化因素相关联。这些因素称为“身份验证因素”。身份验证因素有三种：
IdP 可以使用这些因素中的一个或多个来识别用户。使用多个因素来验证用户身份被称为多因素身份验证 (MFA)。
数字身份必须在某个地方进行跟踪，尤其是对于云计算，其中用户身份决定了某个人能不能访问敏感数据。云服务需要确切知道在哪里以及如何检索和验证用户身份。
用户身份记录也需要以安全的方式存储，从而确保攻击者无法使用它们来冒充用户。云身份提供商通常会采取额外的预防措施来保护用户数据，对于并非专门用来存储身份的服务，可能会将其存储在不安全的位置，例如向互联网公开的服务器。
单点登录服务（通常称为“SSO”）提供一个统一的场所，供用户一次登录所有云服务。除了为用户带来更多便利之外，实施 SSO 通常还可提升用户登录的安全性。
在大多数情况下，SSO 和 IdP 是分开的。SSO 服务使用 IdP 来检查用户身份，但实际上并不存储用户身份。SSO 提供商更接近于中转站，而非一站式店铺；它可以比作一家安保机构，被雇用来维护公司安全，但实际上并不从属于公司。
尽管两者互相独立，但 IdP 是 SSO 登录过程的重要组成部分。当用户登录时，SSO 提供商与 IdP 核对用户身份。完成之后，SSO 可以对任意数量的已连接云应用程序验证用户身份。
不过，这并非总是如此。SSO 和 IdP 在理论上可以成为一体。但这种此设置更容易受到在途攻击，攻击者通过伪造 SAML 断言* 来获得对应用程序的访问权。因此，IdP 和 SSO 通常是分开的。
*SAML 断言是从 SSO 服务发送到任何云应用程序的专用消息，用于确认用户身份验证，从而允许用户访问和使用该应用程序。
这一切在实践中会如何？
假设爱丽丝在雇主的办公室中使用她的工作笔记本电脑。爱丽丝需要登录公司的实时聊天应用程序，以便与同事更好地进行沟通。她在浏览器中打开一个标签页，然后加载聊天应用程序。假设她的公司使用 SSO 服务，那么幕后会发生以下步骤：
此时，爱丽丝的浏览器将她重定向到 SSO 登录页面。页面上提供一些栏位，供爱丽丝输入用户名和密码。由于公司要求两步验证，因此爱丽丝还必须输入一个简短的代码，SSO 会自动将这个代码发送到她的智能手机上。完成此操作后，她单击“登录”。现在会发生以下情况：
爱丽丝被重定向回她的聊天应用程序。现在，她可以和同事们聊天了。整个过程只需几秒钟。
Cloudflare Zero Trust 通过与 SSO 和 IdP 集成，以管理用户访问，帮助保持内部团队的安全。