您在此处：
画布应用程序设置：画布 SAML 启动
此安全设置确定如何触发身份验证握手。
控件名称
连接的应用程序：画布应用程序设置：SAML 启动方法 - IdP 启动 | SP 启动
推荐配置
SAML 启动方法 - IdP 启动 | SP 启动。
控制概览
此安全设置确定身份验证握手是由应用程序向提供商请求身份声明（SP-Initiated）还是提供商向应用程序推送未经请求的声明（IdP-Initiated）触发的。
安全风险（如果未配置）
薄弱的 SAML 启动方法，特别是广泛使用 IdP 启动的流而没有额外的保护措施，导致未经授权的会话启动的风险，以及由于缺乏本地跟踪的请求状态而绕过主要身份挑战的风险。
威胁场景
攻击者通过欺骗用户的浏览器向服务提供商提交伪造或重放的 SAML 声明来实施登录 CSRF（跨站点请求伪造）攻击，从而有效地劫持目标应用程序会话。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
未能确定 SP 发起的流的优先级会阻止应用程序验证传入 SAML 响应是否与其最近生成的特定唯一身份验证请求相对应，从而方便未经请求的登录尝试。
高风险
当为管理画布应用程序使用 IdP 发起的流时，因为这种方法容易受到“拦截”攻击，在这种攻击中，可以在用户不与应用程序直接交互的情况下捕获断言并提交到 ACS URL。
低风险
当强制实施 SP 发起的流时，由于应用程序使用唯一的 "InResponseTo" 属性来加密地将 SAML 响应绑定到原始请求，从而使未经请求的声明攻击无效。
业务和集成注意事项
SP-Initiated 是直接深度链接到应用程序记录的安全选择，而 IdP-Initiated 仅适用于广泛的“应用程序启动程序”用例，在这些用例中，从中央入口网站访问的便利性超过了未经请求的声明的风险。
建议的补救措施
转到连接的应用程序的画布应用程序设置，并选择为高保证内部集成启动的服务提供商，以确保从访问点跟踪每个会话。
安全健康审查指导
安全运行状况审查将服务提供商发起的 SAML 确定为安全画布集成的强烈建议标准，同时承认，当会话劫持风险被其他补偿控制所减轻时，身份提供商发起的流是集中入口网站访问的有效次要选项。
