SAML: IMPLEMENTACIÓN DE SINGLE SIGN-ON EN LARAVEL

SAML, Security Assertion Markup Language, es un estándar que se basa en XML, que permite el intercambio seguro de información de autenticación y autorización entre un Identity Provider (IdP) y un Service Provider (SP).
  • Identity Provider (IdP): Sistema que autentica al usuario como por ejemplo: Azure AD, Okta, Google Workspace, ADFS, Keycloak, OneLogin).
  • Service Provider (SP): La aplicación PHP que consume la autenticación.

Ventajas de usar SAMLSingle Sign-On

  • Mayor seguridad ya que las credenciales no viajan entre sistemas.
  • Descentralización de la gestión de usuarios.
  • Soporte para atributos como roles, departamentos, permisos, etc..
  • Ampliamente aceptado en entornos empresariales.

Implementación

La forma más limpia y moderna de implementar SAML, en Laravel es usando el siguiente paquete:

composer require "aacotroneo/laravel-saml2"

Instalación y configuración

composer require aacotroneo/laravel-saml2
Publicar la configuración 
php artisan vendor:publish --provider="Aacotroneo\Saml2\Saml2ServiceProvider"

Configuración básica ("config/saml2_settings.php")

return [
'default' => 'idp1',

'idp1' => [
'idp' => [
  'entityId' => 'https://idp.ejemplo.com/saml/metadata',
  'singleSignOnService' => [
  'url' => 'https://idp.ejemplo.com/saml/sso',
  ],
  'singleLogoutService' => [
  'url' => 'https://idp.ejemplo.com/saml/slo',
  ],
  'x509cert' => 'MIID...',
],
'sp' => [
  'entityId' => 'https://miapp.com/saml/metadata',
  'assertionConsumerService' => [
  'url' => 'https://miapp.com/saml/acs',
  ],
  'singleLogoutService' => [
  'url' => 'https://miapp.com/saml/sls',
  ],
],
'security' => [
  'nameIdEncrypted' => false,
  'authnRequestsSigned' => false,
  'logoutRequestSigned' => false,
  'logoutResponseSigned' => false,
  'signMetadata' => false,
  'wantMessagesSigned' => false,
  'wantAssertionsSigned' => true,
  'wantNameId' => true,
  'wantNameIdEncrypted' => false,
],
],
];

Rutas principales

// routes/web.php
Route::get('/saml/login', 'SamlController@login');
Route::get('/saml/metadata', 'SamlController@metadata');
Route::post('/saml/acs', 'SamlController@acs');
Route::get('/saml/sls', 'SamlController@sls');

Controlador de ejemplo

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use Aacotroneo\Saml2\Saml2Auth;

class SamlController extends Controller
{
protected $saml;

public function __construct(Saml2Auth $saml)
{
$this->saml = $saml;
}

public function login()
{
return $this->saml->login(config('app.url') . '/dashboard');
}

public function acs()
{
$this->saml->processResponse();

if ($this->saml->getLastError()) {
  return response()->json(['error' => $this->saml->getLastError()], 500);
}

$user = $this->saml->getSaml2User();

// Atributos recibidos del IdP
$attributes = $user->getAttributes();
$nameId = $user->getNameId();

// Crear o actualizar usuario en tu sistema
$laravelUser = \App\Models\User::updateOrCreate(
  ['email' => $nameId],
  [
  'name' => $attributes['name'][0] ?? $nameId,
  // otros campos...
  ]
);

auth()->login($laravelUser);

return redirect('/dashboard');
}
}