通过 ADFS 对 web 服务的用户进行身份验证

Question

我希望有人能证实我对 WCF 的 ADFS 的理解（或缺乏）。

我什至画了一个漂亮的图表。

“Bob”使用托管在客户域上的 web 应用程序。 客户端通过 AD 对 Bob 进行身份验证。 然而，web 应用程序使用在供应商上开发和托管的 WCF 服务。

客户和供应商之间建立了信任。

My question - when the Web App uses the WCF Service, I would like the WCF service to re-authenticate "Bob", and the WCF service can then use the Claims returned by the ADFS server which is on the client.

这张图对吗？

Answer 1

几乎。 将 Web 服务和 ADFS（IP-STS）之间的箭头移动到 Web 应用程序和 ADFS 之间。 然后，它将发送到 Web 服务的“Bob”是一个由 ADFS 签名的令牌，其中包含关于 Bob 的声明。 Web 服务将检查此签名，如果匹配，则认为声明是可信的。

通常，对于像这样的跨组织用例，供应商也会有一个 STS（RP-STS）。 将在 STS 之间建立信任。 然后，本地应用程序（例如，此图中的 Web 应用程序和服务）只需要信任其本地 STS。 这避免了信任关系的完全连接图。

HTH！