Windows Identity Foundation中的TrustedIssuers

Question

我一直在使用ThinkTecture Identity Server在Windows Identity Foundation中試驗聯合安全性和基於聲明的身份驗證。 我在一個單獨的盒子上運行Identity Server，使用在IIS中創建的自簽名證書進行SSL並加密Identity Server中的令牌。

我正在運行一個本地MVC應用程序，通過將身份工具指向Identity Server的FederationMetadata文件，配置為在Visual Studio 2013中使用Identity。 此配置的一部分包括<trustedIssuers>部分，其中包括Identity Server證書的指紋。

所有這一切都非常簡單，但我對如何在客戶端上使用指紋以信任Identity Server感到困惑。 最初，我認為拇指印刷值在某種程度上直接用於驗證發出的令牌，但是更多地閱讀它我發現指紋用於在我的機器上查找實際證書。 但是，據我所知，我從來沒有必要導出Identity Server證書並將其安裝在我的客戶端計算機上，它只是起作用。

如果我自己實際上沒有安裝證書，WIF如何在這種情況下使用指紋？

Answer 1

默認情況下 - 驗證簽名的公鑰嵌入在令牌響應中 - 這意味着RP可以

1. 使用嵌入式證書驗證簽名
2. 在嵌入式證書上創建指紋（哈希），並確保匹配已配置的指紋。

這樣您就不需要在RP上部署證書。