使用 Windows Identity Foundation 和 ADFS+3rd 进行身份验证答案

【问题标题】：Authentication with Windows Identity Foundation and ADFS+3rd party使用 Windows Identity Foundation 和 ADFS+3rd 进行身份验证
【发布时间】：2012-03-30 07:41:40
【问题描述】：

我目前正在评估在 .NET SOA 环境（ASP.NET MVC、WCF）中实施身份验证和授权的方法。

我得出的结论是，使用带有 STS 的 Windows Identity Foundation 应该满足我们的标准。

我很难找到任何合适的 STS 来使用 ADFS 以外的 WIF。我知道有多种选择，但没有可用的文档/经验表明它们与 WIF 的配合如何。

总结总结，多个问题：

这是愚蠢的想法吗？

有没有STS产品可以和WIF一起流畅播放？有这方面的资源吗？

是否有产品允许我实施集中式（但可扩展）授权（即使支持 XACML）？

您将 WSO2 Identity Server 与 ADFS/WIF 结合使用有何经验？

WSO2 Identity Server 具有一些 XACML 功能，但如何在 WCF 服务的授权中使用这些功能？

【问题讨论】：

您能否说明您是否将 ADFS 服务器作为架构的一部分？例如，我不清楚您是否有想要与其他 STS（如 WSO2）联合的 ADFS 服务器，或者您是否想要完全替换 ADFS。（另外，如果 ADFS 对您来说不是一个可行的选择，您能解释一下原因吗？）
@AndrewLavers 是的，ADFS 是一个选项，可以成为架构的一部分。我考虑 ADFS 之外的其他选项的主要原因是因为 ADFS（至少据我所知）不支持数据库作为用户存储。以及我关心的原因：嗯，我想有办法访问和扩展用户数据，而 AD 对我来说有点未知。我知道有一些用于访问 AD 的 API，但我不知道它们具有什么样的性能、可扩展性等。最简单的方法是使用一些开箱即用的支持 RDB 的 STS 产品

标签： single-sign-on wif wso2 adfs2.0 openam

【解决方案1】：

有Starter STS

http://startersts.codeplex.com/

最近已被 IdentityServer 取代：

http://identityserver.codeplex.com/

它已经有一段时间了，它有一些 ADFS 缺乏的功能（比如使用MembershipProvider 来验证用户的能力）。

另外，制作自己的 STS 也相对容易。有一些很好的教程，我也写了一些关于这个的帖子：

http://netpl.blogspot.com/2011/08/quest-for-customizing-adfs-sign-in-web.html

【讨论】：

IdentityServer我已经知道了，但是有一个顾虑：这个够成熟吗？ - 我不想通过添加 1 个 man os-project 来引入任何责任。编写自己的 STS 也是如此：我不是安全专家，所以我想使用经过彻底测试和部署的代码。
如果您非常关心安全性并且仍然希望将数据库作为用户存储，那么我推荐我的 6 部分教程，展示如何在后台将 ADFS 与自定义 STS 联合，以便 ADFS 在您的自定义 STS 并且 STS 不会暴露给最终用户。从上面的链接开始，阅读教程的所有部分。
谢谢，这看起来很有趣。使用 ADFS 联合到自定义 STS 时，除了服务器许可证之外，我还需要其他许可证吗？附言。身份服务器 codeplex 存储库发生了什么 - 源在 2 月被删除？
@Fdr：我不记得除了正确的服务器许可证之外的任何许可证。

【解决方案2】：

WSO2 Identity Server 可以与 ADFS 集成。它也可以作为 XACML 引擎运行。 XACML 引擎作为 SOAP 端点和 Thrift 端点对外公开。

免责声明：我是 WSO2 的架构师。

【讨论】：

【解决方案3】：

没有 WSO2 经验，但如果您不想使用 ADFS，Identity Server 不会有任何问题。 ADFS 和 Identity Server 以及 Ping Identity 等更多商业产品都可以很好地与 WIF 配合使用。

【讨论】：