在Intranet中处理SSO的最佳方法

Question

用例概述，我们要实现的目标：

位于两个不同域上的两台服务器； 仅在内部（内部网）可用

• SharePoint 2013，位于https://shp.mydomain.com上 ； （基于声明的身份验证）
• 在https://api.mydomain.com上的ASP.NET Web Api（？身份验证）； 为共享点来源启用了CORS。

用户登录到SharePoint，单击按钮-将CORS Ajax请求调用到api.mydomain.com。

因此，我想在没有其他登录提示（SSO）的情况下将用户从SharePoint身份验证到其他应用程序。 例如，domain \\ testuser登录到SharePoint，然后将javascript ajax发送到“另一个应用程序”后，他将在那里被验证为“ domain \\ testuser”

问题是，我们应该使用哪种Web API身份验证？ 候选人很少：

1. Kerberos-但是据我所知，它将要求最终用户在Firefox，IE / Chrome中将我们的服务器配置为“受信任的站点”，以及在Chrome中进行一些注册表修改...也许有办法避免这种复杂的配置对于最终用户？
2. OAuth2-尽管我不知道如何在ActiveDirectory中使用它
3. 使用SharePoint中基于声明的身份验证-我们可以将STS的AJAX令牌放入其中，因此令牌可以从JS使用-这不是安全问题吗？
4. 自定义身份验证（不惜一切代价避免这种情况）
5. 你的想法？

我们无法使用ADFS，因为SharePoint 2013遇到了问题。

你怎么看待这件事？ 哪种选择最适合我们和最终用户？

Answer 1

我使用了自定义的OAuth2授权提供程序。

流：

1. 用户访问SharePoint
2. SharePoint调用模拟当前用户的webApi / token OAuth2
3. WebApi返回令牌
4. 令牌已返回给用户，现在他可以将其用于api调用
5. 仅允许对/ token的SharePoint调用（仅SSL）

效果很好。