不同 Microsoft 产品集中的 SSO 尝试答案

【问题标题】：SSO attempt within disparate Microsoft product set不同 Microsoft 产品集中的 SSO 尝试
【发布时间】：2011-11-09 14:08:54
【问题描述】：

我正在考虑使用一组 MS 产品（CRM、SharePoint、SSRS、ASP.NET）实现单点登录用户体验，基于 Windows Identity Foundation 驱动的 ASP.NET 应用程序中生成的令牌（ WIF)。

我想知道是否有一种简单的方法来测试/示例在 ASP.NET 应用程序中生成的 IP-STS 令牌是否允许与集合中的其他应用程序类型进行身份验证？我没有安装 SharePoint 或 CRM。

任何想法表示赞赏

【问题讨论】：

您到底想证明和测试什么？只是基于声明的身份验证可以在 CRM 和 SharePoint 中使用吗？
@Garrett，基于声明（即使用 IP-STS 令牌）可与 {CRM、SharePoint、ASP.NET、SSRS} 集一起使用，无需任何进一步的身份验证。我很高兴它在 ASP.NET 中工作，但我希望证明它可以在更大的集合中工作。

【解决方案1】：

澄清一下：令牌不是在 ASP.NET 应用程序中生成的。它在称为 IP-STS（或 STS，或身份提供者，或 I-STS：所有含义相同）的外部实体中发布。有时，IP-STS 是用 ASP.NET 实现的，但这是一个实现细节。 STS 不是您的应用。

一般来说，为一个应用程序（例如 ASP.NET 应用程序）创建的令牌不能在另一个应用程序中重复使用。但这不是具有基于声明的身份的 SSO 的要求。

根据您提供的详细信息，使用 100% 基于 MSFT 的应用程序组合（自定义或打包）的最简单 SSO 体验可能是仅使用 Windows 身份验证。特别是如果您使用 AD 进行身份验证。在这种情况下，一切正常。

在以下情况下，基于声明的方法是有意义的：

如果 Windows 身份验证不可行并且您仍想使用声明，那么您需要：

【讨论】：

令牌提供者可以是 ASP 应用程序（据我所知，被动 STS）。但我理解 IP-STS 颁发的令牌可供每个应用程序（CRM、SharePoint 等）使用？
是的，I-STS 是一个网站。每个应用程序都将获得自己的令牌。 SSO 体验来自这样一个事实，即 I-STS 将仅对用户进行一次身份验证（当请求第一个令牌时）。随后的令牌将使用用户与它的前一个会话来发布。有意义吗？

【解决方案2】：

最新版本的 SharePoint (http://msdn.microsoft.com/en-us/library/ff953202.aspx) 和 Dynamics CRM (http://msdn.microsoft.com/en-us/library/gg334502.aspx) 支持 Windows Identity Foundation (WIF) 和基于声明的身份验证。

对于 SSRS，您需要创建自定义安全扩展 (http://msdn.microsoft.com/en-us/library/ms155029.aspx)，或者如果它在 SharePoint 上下文中，您可以将其配置为使用基于声明的身份验证：http://technet.microsoft.com/en-us/library/ff487970.aspx。

如果您使用这些产品，您应该能够使用其他支持 WIF 的 ASP.NET 应用程序实现单点登录。

【讨论】：

【解决方案3】：

顺便提一下，它还与 Office 365 和 Azure ACS 集成。

它还与基于 Java 的产品（OpenAM、Ping Identity ...）集成，其中一些是免费的，但下载、安装和配置这些产品需要大量工作。

我不知道有一种“简单”的方法可以证明没有安装产品。

有大量关于 WIF/ADFS/SSO 互操作性的文献。您不能将其视为已读是否有特殊原因？

【讨论】：