Windows Identity Foundation 中的 TrustedIssuers答案

【问题标题】：TrustedIssuers in Windows Identity FoundationWindows Identity Foundation 中的 TrustedIssuers
【发布时间】：2014-02-21 07:06:35
【问题描述】：

我一直在使用 ThinkTecture Identity Server 在 Windows Identity Foundation 中试验联合安全性和基于声明的身份验证。我在一个单独的盒子上运行 Identity Server，使用在 IIS 中为 SSL 创建的自签名证书并在 Identity Server 中加密令牌。

我正在运行一个本地 MVC 应用程序，通过将身份工具指向 Identity Server 的 FederationMetadata 文件，配置为使用 Visual Studio 2013 中的身份。此配置的一部分包括 <trustedIssuers> 部分，其中包括 Identity Server 证书的指纹。

所有这些都很简单，但我对如何在客户端上使用指纹来信任身份服务器感到困惑。最初，我认为指纹值以某种方式直接用于验证颁发的令牌，但仔细阅读后我发现指纹用于在我的机器上查找实际证书。但是，据我所知，我不必导出 Identity Server 证书并将其安装在我的客户端计算机上，它就可以正常工作。

如果我自己没有实际安装证书，WIF 在这种情况下如何使用指纹？

【问题讨论】：

标签： c# security certificate wif claims-based-identity

【解决方案1】：

默认情况下 - 验证签名的公钥嵌入在令牌响应中 - 这意味着 RP 会这样做

使用嵌入式证书验证签名
在嵌入式证书上创建指纹（哈希）并确保与配置的指纹匹配。

这样您就不需要在 RP 上部署证书。

【讨论】：