从（本地）Windows 身份验证更改为 ADFS

Question

至少我认为我的意思是 ADFS？！ 好的，所以我创建并部署了一个简单的 asp.net Web 应用程序供员工使用。 它使用 Windows 身份验证。 Windows 帐户是服务器的本地帐户，因为此服务器位于 DMZ 中。 这很好用，但比我想象的更受欢迎，现在正在整个组织中使用。

显然，我现在有一个问题，即任何离开组织的员工仍然可以访问这个网络应用程序。不好！尽管 ADFS 可能是答案，但我并没有拥有一个全新的基于表单的帐户管理系统。这不是我的专业领域，所以如果我走错路或使用无意义的行话，请多多包涵。我们的 AD 是内部部署的，但我们将其同步到 MS 云，因此我们可以将 NT 帐户用于 365 应用程序，并将 SSO 用于基于 Web 的第 3 方产品。我希望我的网络应用程序与基于网络的第 3 方应用程序一样。 我在 Google 上搜索了很多，但很快就迷失在 ADFS/OWIN/OAuth 语言中。

如果我知道适合我的场景的确切搜索词，我可以回到我的研究...如果有人可以向我指出一篇文章，说明如何在没有我的情况下完全做我需要的事情必须参加 SAML 等速成课程，这也很棒。

Answer 1

首先，就启用/停用策略达成一致，ADFS 不会解决此问题，因为 ADFS 会针对 AD 进行身份验证。 Azure AD 也不会。

你可以走两条路：

安装 ADFS。然后，您可以在所有应用程序中获得 SSO。而是选择 Azure AD。

使用 Azure AD。您的用户已经同步到 Azure AD for O365。

您可以使用 OpenID Connect 而不是 SAML。

有许多示例可以指导您here。

Answer 2

认为您仍想使用 Windows 身份验证，但不是本地帐户，而是创建和使用域用户帐户。 DC 将能够相应地进行验证。至于员工离开并仍然可以访问，您需要制定一项政策，在他们离开公司时禁用/删除 AD 中的用户帐户对象，以便该帐户不再存在或启用。