使用Windows Identity Foundation单一登录

Question

客户端有2个网站（site1.com，Site2.com）和一个Windows应用程序。 两个网站都针对存储在sql服务器数据库中的用户数据使用表单身份验证（每个网站的数据库不同）。 Windows应用程序使用Windows Identity（AD）对使用进行身份验证。 并且在不久的将来可能会添加更多的网站/应用程序。

客户希望为其所有应用程序实施单一登录。 他们希望以较低的价格将SSO服务构建为可以插入任何网站/应用程序中的组件。

由于所有网站/应用程序都有自己的用户存储，因此我们如何使用WIF开发SSO组件。 我已经阅读过有关WIF的信息，但无法确定每个网站/应用程序和SSO服务的责任。 如何在STS中使用SAML。

请建议我最好的方法以及任何继续阅读的好链接。

谢谢@Paul

Answer 1

WIF的常规STS是ADFS。 支持SAML。 WIF本身不支持SAML。

ADFS使用AD进行身份验证-而不是DB。

要使用数据库，请查看IdentityServer 。

Answer 2

正常的SSO方案将包括一个被动联盟的实现，这意味着您将拥有一个具有身份验证机制的STS（无论是形式还是其他形式），该被动提供程序可以具有多个供不同RP使用的Claim存储。 然后，您的每个站点都将成为您的联合身份验证提供者的RP，后者将向您颁发SAML令牌。 在简单的步骤中，用户进入站点一并尝试访问受保护的资源，如果未通过身份验证，则将用户重定向到FP，FP将SAML令牌发回到主叫RP，并且允许用户访问该资源。 然后，用户单击站点2（它是同一FP的RP）并发布了令牌，令牌上只有一次验证过程即可发布cookie，并且用户也可以访问站点2并返回站点1无需每次都重新认证。

希望这会有所帮助，但请不要犹豫，进一步发布，不需要其他信息。