针对 Windows 域的分散式身份验证

Question

有许多设置非常简单的第三方分散式身份验证解决方案：使用 Facebook 凭据、OpenID、OAuth 等登录。

如何在 Windows 域环境中的防火墙内执行类似操作？

场景：

• 防火墙内的 Python Web 应用程序，托管在 Linux 服务器上。
• 用户拥有 Windows 桌面并通过 Windows 域进行身份验证

我知道我可以使用 LDAP 针对 Active Directory 验证用户名/密码，但这不是我想要的。我根本不希望我的应用程序处理用户名/密码。我希望它像 OpenID 一样工作，即我的应用程序将用户重定向到某种 Windows 身份提供程序网页。

是否有开箱即用的 Windows/IIS 解决方案？

编辑：

• Windows Identity Foundation 是我要找的吗？或者也许 WIF 有构建模块？

Answer 1

冒着给出太多答案的风险，在我看来ADFS 2.0 是您阻力最小的路径。至于将基于声明的访问集成到您的 python 应用程序中，我已经看到pysaml2 被推荐作为这样做的一种方式，但我不能从经验中说出来。

Answer 2

我不是 Windows 用户，而是来自 Atlassian 的 Crowd：

• 将在 Windows 上运行
• 可以针对 Active Directory 进行身份验证
• 包括一个 OpenID 提供程序

因此，如果您的应用程序可以处理 OpenID，那么您将拥有所需的一切。

Answer 3

WIF 和 Azure ACS 将提供此功能。例如Adding a Custom OpenID Provider to ACS… with JUST ONE LINE of PowerShell Code.

或者您可以将 Dot Net Open Auth 与您自己的 STS 或使用类似 Identity Server 的东西集成。