使用ADFS，是否应该允许用户在我的DMZ域上创建Windows帐户？

Question

我的公司已经编写了Web应用程序以使用ADFS的“单点登录”，但是我们根本没有使用联合身份验证-我们只是让Internet上的任何用户都可以在DMZ域上创建自己的（低特权Active Directory）帐户（并且该域名与我们的公司域之间没有AD信任）。

这是常见的ADFS配置吗？ 我在这里应该注意任何安全问题吗？

Answer 1

我已经看过其中一些。

一般用例是它用于低重要性应用程序，即如果整个事情被黑客入侵，公司不会停顿下来。

此外，它还具有自助服务设置/密码重置功能，因此不需要帮助台。

任何AD都不应信任内部AD，也不应联合任何内部ADFS。

您也可以为此使用Azure AD B2C。