现有 .net Web 应用程序需要更改身份验证

Question

我继承了现有的 .net Web 应用程序。 它是一个供外部用户和内部用户使用的外部网站。 为了登录/验证内部用户，它使用 LDAP 验证。 外部用户转到不同的数据库。

我的 IT 部门想要改变内部用户登录的方式。 他们不想让外部服务器能够使用 LDAP 访问 AD。 是否有更安全的方法从外部服务器访问 AD？ 或者根本不推荐这样做？

另外，登录的设计有缺陷吗？ 内部和外部用户是否应该以相同的方式登录？ 登录用户的最佳实践是什么？

Answer 1

您可以为此使用 ADFS（Active Directory 联合服务）。

这将要求您在网络内安装 ADFS 服务器（以便它可以联系 AD）。

ADFS 服务器包含基于 Web 的 STS（安全令牌服务），以允许网页使用 AD 帐户登录。

简而言之，它的工作原理如下：

1. 您的用户导航到外部 Web 应用程序
2. Web 应用程序会将用户重定向到 ADFS STS 服务器。
3. ADFS STS 服务器将验证您的凭据（通过使用集成安全性或基于 Web 的登录框）
4. 如果 ADFS STS 服务器对凭据感到满意，它将使用登录令牌作为额外信息将用户重定向回外部 Web 应用程序。 此令牌包含有关用户的信息（可以配置）。 它由 ADFS 服务器签名（以确保信息真实）并且可以选择加密。
5. 外部 Web 应用程序提取令牌并测试签名。 如果一切正确，Web 应用程序将授予用户应具有的权限。

有关在 ASP.NET 应用程序中进行设置的信息，您可以参考以下 URL： http : //blogs.msdn.com/b/alextch/archive/2011/06/27/building-a-test-claims-意识到asp-net-application-and-integrating-it-with-adfs-2-0-security-token-service-sts.aspx