通過 ADFS 對 web 服務的用戶進行身份驗證

Question

我希望有人能證實我對 WCF 的 ADFS 的理解（或缺乏）。

我什至畫了一個漂亮的圖表。

“Bob”使用托管在客戶域上的 web 應用程序。 客戶端通過 AD 對 Bob 進行身份驗證。 然而，web 應用程序使用在供應商上開發和托管的 WCF 服務。

客戶和供應商之間建立了信任。

My question - when the Web App uses the WCF Service, I would like the WCF service to re-authenticate "Bob", and the WCF service can then use the Claims returned by the ADFS server which is on the client.

這張圖對嗎？

Answer 1

幾乎。 將 Web 服務和 ADFS（IP-STS）之間的箭頭移動到 Web 應用程序和 ADFS 之間。 然后，它將發送到 Web 服務的“Bob”是一個由 ADFS 簽名的令牌，其中包含關於 Bob 的聲明。 Web 服務將檢查此簽名，如果匹配，則認為聲明是可信的。

通常，對於像這樣的跨組織用例，供應商也會有一個 STS（RP-STS）。 將在 STS 之間建立信任。 然后，本地應用程序（例如，此圖中的 Web 應用程序和服務）只需要信任其本地 STS。 這避免了信任關系的完全連接圖。

HTH！