如何在ASP.NET MVC中实现单一登录（ADFS）

Question

仅供参考：请参阅更新12-FEB-2019

我创建了一个ASP.NET MVC应用程序（使用Visual Studio），并尝试使用Active Directory联合服务器来使其处理SSO。 请注意，这不是使用Azure。

因此，第一步有效-我导航到我的登录页面，并且有一个按钮允许我登录到另一个服务[“ Federation”]。 这将启动ADFS网页，我在其中输入凭据，但是返回到我的网站时，出现以下错误：

IDX10214：观众验证失败。 观众：“ [PII隐藏]”。 不匹配：validationParameters.ValidAudience：“ [PII隐藏]”或validationParameters.ValidAudiences：“ [PII隐藏]”。

异常详细信息：Microsoft.IdentityModel.Tokens.SecurityTokenInvalidAudienceException：IDX10214：听众验证失败。 观众：“ [PII隐藏]”。 不匹配：validationParameters.ValidAudience：“ [PII隐藏]”或validationParameters.ValidAudiences：“ [PII隐藏]”。

显然，我的设置不正确...。所以需要知道我缺少什么...

这是我的（缩减）代码：

Startup.Auth.cs

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {
        // Configure the db context, user manager and signin manager to use a single instance per request
        app.CreatePerOwinContext(ApplicationDbContext.Create);
        app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);
        app.CreatePerOwinContext<ApplicationSignInManager>(ApplicationSignInManager.Create);    

        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = WsFederationAuthenticationDefaults.AuthenticationType
        });

        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);

        ServicePointManager.ServerCertificateValidationCallback = new RemoteCertificateValidationCallback(ValidateServerCertificate);

        app.UseWsFederationAuthentication(new WsFederationAuthenticationOptions
        {
            MetadataAddress = "https://adfs.Mydomain.com/FederationMetadata/2007-06/FederationMetadata.xml",
            Wtrealm = "https://myWebServer/myWebApplication"
        });
    }

    private bool ValidateServerCertificate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslpolicyerrors)
    {
        return true; // Our "TEST" ADFS has a fake certficate, so we don't want to validate it.
    }
}

Web.Config中的部分

  <appSettings>
    <add key="webpages:Version" value="3.0.0.0" />
    <add key="webpages:Enabled" value="false" />
    <add key="ClientValidationEnabled" value="true" />
    <add key="UnobtrusiveJavaScriptEnabled" value="true" />

    <add key="ClaimsNameIdentifier" value="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier" />
    <add key="ClaimsUPNIdentifier" value="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn" />
    <add key="ClaimsEmailIdentifier" value="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" />
  </appSettings>

  <system.web>
    <authentication mode="None" />
    <compilation debug="true" targetFramework="4.7.1" />
    <httpRuntime targetFramework="4.7.1" />
  </system.web>

（注意：在上面的身份验证元素中，intellisense给了我“联合”作为选项，但这会导致编译错误）。

一个有用的资源是alligatortek ，但实际上并没有填满所有内容。 还有其他资源似乎很接近，但不够具体。

更新12-FEB-2019

根据下面的评论，建议我改用Vittorio Bertocci的帖子 ，其中使用“ On-Premesis”选项（这与Rober Finch的帖子几乎相同）。 生成的代码有些不同（请参见下文），但结果仍然相同。

Startup.Auth.cs

public partial class Startup
{
    private static readonly string realm = ConfigurationManager.AppSettings["ida:Wtrealm"];
    private static readonly string adfsMetadata = ConfigurationManager.AppSettings["ida:ADFSMetadata"];

    /// <summary>
    ///     Configures the authentication.
    /// </summary>
    /// <param name="app">The current application.</param>
    public void ConfigureAuth(IAppBuilder app)
    {
        app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
        app.UseCookieAuthentication(new CookieAuthenticationOptions());

        ServicePointManager.ServerCertificateValidationCallback = this.ValidateServerCertificate;
        app.UseWsFederationAuthentication(
            new WsFederationAuthenticationOptions
            {
                Wtrealm = Startup.realm,
                MetadataAddress = Startup.adfsMetadata
            });
    }

    private bool ValidateServerCertificate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslpolicyerrors)
    {
        return true; // Skips certificate validation as using a temp certificate.
    }
}

Web.Config中的部分

<appSettings>
    <add key="webpages:Version" value="3.0.0.0" />
    <add key="webpages:Enabled" value="false" />
    <add key="ClientValidationEnabled" value="true" />
    <add key="UnobtrusiveJavaScriptEnabled" value="true" />
    <add key="ida:ADFSMetadata" value="https://adfs.Mydomain.com/FederationMetadata/2007-06/FederationMetadata.xml" />
    <add key="ida:Wtrealm" value="https://myWebServer/myWebApplication" />
</appSettings>

Answer 1

终于解决了。

在Startup.Auth.cs文件中，我将以下行临时添加到ConfigAuth（...）方法中：

Microsoft.IdentityModel.Logging.IdentityModelEventSource.ShowPII = true;

然后，这表明我必须在web.config条目的“ Wtrealm”值中添加一个斜杠

来自：

<add key="ida:Wtrealm" value="https://myWebServer/myWebApplication" />

至 ：

<add key="ida:Wtrealm" value="https://myWebServer/myWebApplication/" />

Answer 2

到目前为止，最简单的方法是通过VS中的“ 本地 ”选项。