Flusso: l'applicazione (SP) reindirizza il browser all'IdP, l'utente si autentica lì e l'IdP rimanda tramite il browser un'asserzione SAML firmata all'URL Assertion Consumer Service (ACS) dell'applicazione. Contiene il NameID e attributi come email o gruppi.
Le due parti si scambiano i metadati: entity ID, endpoint e certificato di firma. SAML è molto diffuso in ambito aziendale; Nextcloud lo supporta con l'app user_saml.
Errori comuni: certificato dell'IdP scaduto o ruotato senza aggiornare lo SP, entity ID non identico, differenza di orario oltre la tolleranza e URL ACS con http invece di https dietro un reverse proxy.
Esempio
https://cloud.example.com/apps/user_saml/saml/metadata