任何事物如果存在於世界上，無論其形式如何——抽象概念或物理事物——並且具有將其與其他事物區分開來的身份（或簡稱ID），則被稱為實體。簡而言之，每個實體都有一個身分或簡稱 ID。例如，使用者、電腦、裝置、應用程式、服務、網路等都是實體，因為它們都具有唯一標識它們的身分。實體的固有特徵稱為屬性。身分是一個實體的屬性或屬性的組合，用於將一個實體與其他實體區分開來。能夠發起或回應操作的實體是安全主體，而不能發起或回應操作的實體是資源。發起動作的主動方稱為主體，而回應主動方或資源的被動方稱為客體。
實體或安全性主體將帳戶儲存在目錄（帳戶資料庫）中。帳戶是代表實體的技術手段；目錄中帳戶的欄位代表實體的屬性。 ID提供者是一個實體，它保存和管理目錄、回應查詢、透過身份驗證器驗證主體的身份，並透過令牌或票證提供斷言或聲明，以確保有關實體的陳述是真實的。在 Microsoft 的 Active Directory 中，出於效能或管理目的，目錄可以分為一個或多個實體分割區或邏輯網域。儲存帳戶資料庫的機器是網域控制器，網域控制站上管理目錄的服務稱為目錄服務。
身份驗證基於身份驗證器的保密性以及對 ID 提供者頒發的令牌和票據的信任；這 是 ID 提供者透過一個或多個身份驗證器透過搜尋帳戶並將資料與目錄進行比較來驗證實體身分的過程。身分驗證過程中的主體是主動向 ID 提供者表明其身分的實體； 主體顯示其身分的過程稱為身分認同。但是，當 ID 提供者搜尋目錄並找到代表實體的帳戶時，也稱為識別。身份驗證器是用來證明實體身分的秘密。身份驗證器分為三種類型，也稱為身份驗證因素：您知道的東西、您擁有的東西和您是什麼。
多重身份驗證 (MFA)是指使用兩種或多種身份驗證器類型的身份驗證過程。主體的身份及其驗證器的組合統稱為憑證。斷言或聲明是關於實體的始終正確的聲明，由 ID 提供者在驗證實體的身份後發出。在 SAML 或 OIDC 中，斷言或聲明是以 XML 或 JSON 表示的屬性和值對或鍵值對。代幣和票據是傳達斷言或主張的技術或物理手段。
單一登入（SSO）是一種系統功能，使用者只需登入一次，即可根據商定的協議和令牌或票證的格式存取各個系統的資源。 SAML 和 OIDC 是基於聯合的 SSO 中常用的協定。聯合是共享通用協議以促進 SSO 功能的系統的集合。
資料來源：https://wentzwu.com/2024/08/08/authentication-101/
ps:經作者同意翻譯並轉載
