使用 WIF 4.5 管理索赔的最佳方式是什么

Question

我最近一直在研究 WIF 4.5，以便用更细粒度的权限改进基于角色的旧 Webforms 应用程序。该应用程序使用 Windows Auth，因此实现基于声明的授权似乎相对简单。我可以使用标识资源和操作的 ClaimsPrincipalPermission 来装饰页面和方法。我可以插入一个自定义 AuthorizationManager 来应用授权规则。有很多很好的例子来说明如何做到这一点。以下是一些：

• Leveraging claims based security in asp.net 4.5
• Going beyond usernames and roles
• Identity and Access Control in WCF 4.5

我似乎找不到关于如何最好地管理用户声明的好例子。我看到了两个基本挑战。

• 如何使应用程序声明与用户声明保持同步？ 我如何发现或跟踪应用程序的所有声明 需要？然后我如何确保用户拥有所有 声称他们需要并随着时间的推移进行管理？
• 如何防止爆炸性的细粒度声明导致声明管理不便和授权规则复杂？

我正在寻找支持细粒度控制同时易于管理的索赔授权的一些​​指导或参考实施。

Answer 1

通常，WIF 与 ADFS（位于 AD 之上）之类的 IDP 一起使用。

声明是在 ADFS 而不是 WIF 上配置的。在 ADFS 上配置的声明将通过 SAML 令牌发送到 WIF。要查找为应用程序配置的声明，您必须查看 ADFS。

声明不是动态的，即如果在 AD 中更改用户属性，则在用户下次登录之前不会更新声明。

尝试限制为用户配置的声明数量并确保正确配置 AD 并不是小问题。一种方法是通过组（AD 安全角色）。 ADFS 可以为您映射这些。