使用活動目錄對用戶進行身份驗證並獲得要在其他地方使用的令牌

Question

我們具有以下用於驗證用戶身份的設置。 Wcf身份驗證服務，作為服務器計算機上的Windows服務托管。 客戶端是基於C＃CAB的應用程序，可根據需要與身份驗證服務和其他服務（審核，..）進行通信。 我們希望提供使用Active Directory登錄到應用程序的選項。 建議的步驟如下所示。

1. 服務器上運行的身份驗證服務
2. 用戶在客戶端計算機上打開應用程序，然后選擇通過AD登錄。
3. 應用程序，使用userName和密碼對用戶進行AD身份驗證。
4. 應用程序將一些令牌從經過身份驗證的用戶發送到身份驗證服務，以獲取有關sql server和sql db name的信息。
5. 身份驗證服務對Active Directory使用令牌，並驗證用戶是否已登錄並通過身份驗證，並返回所需的sql信息。

客戶端應用程序無需將用戶名和密碼發送到服務器以根據AD進行身份驗證，是否可以執行第4步和第5步？ 我想盡可能避免在網絡上發送密碼。

Answer 1

您不能僅使用AD和客戶端來執行此操作，您需要將服務包含在身份驗證機制中。 如果我是您，則將用戶名和密碼發送給身份驗證服務，客戶端完全不應直接與AD對話。 並且，如果您需要一些SSO，則可以在身份驗證服務中創建令牌。 AD不會發行令牌，只有您可以發行令牌，或其他更復雜的服務，例如ADFS。