Bei SAML wird ein Identity Provider (IP) gefragt, ob ein User berechtigt ist, auf idgard zuzugreifen. Dieser IP ist nicht in idgard enthalten, sondern ein externer Service, nämlich der, an den User zum Login weitergeleitet werden. Der IP wird von einem Unternehmen, beispielsweise vom TÜV benutzt, um Authentifizierungen, beispielsweise für SSO, durchzuführen. Gängige IPs sind Microsoft (mit deren Active Directory) oder Google, Okta o.ä.; immer, wenn irgendwo steht Login with ....
Im Zuge des SSO liefert dieser IP eine Antwort (die Assertionsantwort), in der steht, ob ein User Berechtigungen auf idgard hat.
Für idgard ist wichtig, ob der IP tatsächlich vom Unternehmen (beispielweise TÜV) beauftragt wurde, um diese Berechtigungen zu prüfen und Zugriff zu erlauben. Das Enterprise Secret wird dadurch auch dazu benutzt sicherzustellen, dass die Antwort auch wirklich vom beauftragten IP kommt und nicht von einem böswilligen Akteur. Das Enterprise Secret wird benutzt, um die Assertionsantwort zu ver- und entschlüsseln.