GabaritoE — Errado
❌ ERRADO. O SAML e o OAuth 2.0 são protocolos distintos e independentes, com finalidades diferentes: o SAML é um padrão de autenticação e autorização (foco em SSO), enquanto o OAuth 2.0 é um protocolo de autorização (foco em conceder acesso a recursos). O OAuth 2.0 não é uma implementação do SAML — são tecnologias concorrentes, não complementares nesse sentido.
O SAML (Security Assertion Markup Language) é um padrão baseado em XML, amplamente utilizado para login único (SSO) e federação de identidade em ambientes corporativos. Ele define um fluxo em que o usuário (sujeito) é redirecionado para um Identity Provider (IdP), que autentica o usuário e gera uma asserção SAML (um token XML) contendo informações sobre a identidade. Essa asserção é enviada ao Service Provider (SP), que a valida e concede acesso ao recurso. O SAML, portanto, cuida tanto de autenticação (quem é o usuário) quanto de autorização (o que ele pode acessar).
O OAuth 2.0, por sua vez, é um protocolo de autorização que permite que aplicações acessem recursos protegidos em nome de um usuário, sem expor suas credenciais. Ele utiliza tokens de acesso (geralmente em JSON, como JWT) e envolve atores como o Resource Owner (usuário), o Client (aplicação), o Authorization Server (que emite tokens) e o Resource Server (que armazena os recursos). O OAuth 2.0 não foi projetado para autenticação, embora seja frequentemente usado em conjunto com o OpenID Connect (OIDC), que adiciona uma camada de autenticação sobre o OAuth.
A confusão entre os dois é comum, mas a distinção é clara: enquanto o SAML é um padrão de autenticação/autorização com foco em SSO, o OAuth 2.0 é um protocolo de autorização para acesso a APIs e recursos. Eles não são um padrão e sua implementação correspondente — são protocolos concorrentes com propósitos diferentes. A banca explora exatamente essa confusão conceitual.
A banca tenta fazer o candidato acreditar que OAuth 2.0 é uma implementação do SAML, quando na verdade são protocolos independentes. O OAuth 2.0 não é uma implementação de nada — é um protocolo próprio de autorização. A relação correta é: SAML e OAuth 2.0 são alternativas para diferentes cenários, não um padrão e sua implementação.
Critério | SAML 2.0 | OAuth 2.0 |
|---|---|---|
Finalidade principal | Autenticação e autorização (foco em SSO) | Autorização (acesso a recursos/APIs) |
Formato do token | Asserção XML | Token de acesso (geralmente JWT/JSON) |
Atores envolvidos | Identity Provider (IdP) e Service Provider (SP) | Resource Owner, Client, Authorization Server e Resource Server |
Relação entre os protocolos | Padrão independente | Protocolo independente (não é implementação do SAML) |
A afirmação está errada, pois o SAML e o OAuth 2.0 são protocolos distintos, com finalidades diferentes. O SAML é um padrão de autenticação e autorização (foco em SSO), enquanto o OAuth 2.0 é um protocolo de autorização (foco em conceder acesso a recursos). O OAuth 2.0 não é uma implementação do SAML — são tecnologias concorrentes, não complementares nesse sentido. A relação correta é: SAML e OAuth 2.0 são alternativas para diferentes cenários, não um padrão e sua implementação.
Gabarito: letra E (ERRADO).
Link permanente: /questoes/ce404067