Ablauf: Die Anwendung (SP) leitet den Browser zum IdP, der Nutzer meldet sich dort an, und der IdP schickt eine signierte SAML-Assertion über den Browser an die Assertion Consumer Service URL (ACS) der Anwendung zurück. Darin stehen NameID und Attribute wie E-Mail oder Gruppen.
Beide Seiten tauschen Metadaten aus: Entity-ID, Endpunkte und das Signaturzertifikat. SAML ist in Unternehmensumgebungen verbreitet und wird von Nextcloud über die App user_saml unterstützt.
Häufige Fehler: abgelaufenes oder nach Rotation nicht aktualisiertes IdP-Zertifikat, eine Entity-ID, die nicht exakt übereinstimmt, Zeitabweichung über die erlaubte Toleranz hinaus und eine ACS-URL mit http statt https hinter einem Reverse Proxy.
Beispiel
https://cloud.example.com/apps/user_saml/saml/metadata