使用 ADFS，我应该允许用户在我的 DMZ 域上创建 Windows 帐户吗？

Question

我的公司已经编写了我们的 Web 应用程序以使用 ADFS 的单点登录，但我们根本没有使用联合 - 我们只是让 Internet 上的任何用户在我们的 DMZ 上创建他们自己的（低权限 Active Directory）帐户域（并且该域与我们的公司域之间没有 AD 信任）。

这是常见的 ADFS 配置吗？这里有什么我应该注意的安全问题吗？

Answer 1

我见过很多这样的。

一般用例是它用于低重要性应用程序，即，如果整个事情都被黑客入侵，公司不会陷入停顿。

此外，它具有自助服务配置/密码重置功能，因此不必涉及帮助台。

不应有 AD 信任内部 AD，也不应联合任何内部 ADFS。

您也可以为此使用 Azure AD B2C。