具有基于声明的身份验证和多个角色的 Windows Identity Foundation答案

【问题标题】：Windows Identity Foundation with Claims based Authentication and Multiple Roles具有基于声明的身份验证和多个角色的 Windows Identity Foundation
【发布时间】：2012-10-11 13:48:04
【问题描述】：

我们正在实施安全令牌服务 (STS)，它使用 Windows Identity Foundation 提供基于声明的身份验证和授权。

我的问题实际上是关于最佳实践以及我们应该如何处理给定身份的多个角色。

在用户成功登录后为其创建声明时，我们需要能够在返回依赖方之前将用户所属的角色添加到声明中。

Claim 对象不接受字符串集合，所以我想知道应该怎么做。我可以想到两种方法：

我可以添加多个具有不同值的 ClaimTypes.Role 类型的声明，这些声明可以在另一侧读取（我已经测试过，这似乎可以正常工作，没有任何错误）
我还可以将角色放入单个声明中，并用 ; 分隔它们。或类似的东西。

我的问题实际上是关于以上哪个更好，还是我错过了更好的东西？这两种解决方案都不是完美的，因为它需要在另一端进行解析。

谢谢，约翰

【问题讨论】：

标签： .net c#-4.0 wif claims-based-identity

【解决方案1】：

如果您使用 ADFS 作为 STS，它会在声明中插入多个角色

例如

...声明/角色编辑器
...声明/角色审批人

等等

这样做的好处是 WIF 可以使用标准的 IsInRole 构造等。

【讨论】：

谢谢。我们使用的是我们自己的身份验证形式，但如果 ADFS 采用这种方式处理它，那么我们也可以这样做。