WCF 的 Windows 身份验证是否足够？答案

【问题标题】：Is Windows Authentication for WCF Enough?WCF 的 Windows 身份验证是否足够？
【发布时间】：2009-01-12 04:01:16
【问题描述】：

我正在开发一个对数据传输和访问的安全性要求相当高的应用程序。据我了解，Windows 身份验证是通过 Intranet 进行 TCP 的首选方法。

您如何处理不使用域且只有简单工作组可用的情况？（一些客户不会使用域来管理网络）。

是否足够使用交互式客户端详细信息（当前登录用户），或者我应该让他们单独重新输入他们的用户名和/或密码，否则我不是将安全性留给网络管理员来确保他们有适当的政策（即计算机在一段时间后被锁定）？这一点尤其重要，因为我知道有些用户倾向于让他们的计算机保持登录状态，那么我如何确保帐户所有者是实际用户？

如果是这样，如果他们只是重新输入他们的身份验证详细信息，那么使用 Windows 身份验证而不是用户名/密码身份验证有什么意义？

谢谢

【问题讨论】：

【解决方案1】：

使用 Windows 身份验证的目的是为网络对象管理提供一个集中目录。如果你有工作组，我说你最好使用其他技术，也许是会员提供者和角色提供者。

This 文章讨论了这样做的弊端。

【讨论】：

【解决方案2】：

使用 Windows 身份验证的目的是利用预先存在的成员资格方案。在企业级开发中，这意味着管理员拥有他们习惯使用的集中式成员控制面板来管理域级安全性。用户的额外好处是一次登录计算机即可授予对多个应用程序的访问权限，而无需重新输入他们的详细信息。

如果您尚未建立域级别的安全性，并且没有计划朝该方向迁移，则成员资格提供程序选项将是 aspnet 中的更好选择。显然，您随后需要规划企业将如何处理多个登录和身份验证提供程序的维护。

[编辑] 啊……伊戈尔先到了那里。

【讨论】：