爲什麼使用聯合提供者？

Question

這是我目前瞭解的內容： -

用戶登錄IDP，然後IDP爲該用戶提供一個令牌，當用戶嘗試訪問信任IDP的應用程序時，應用程序將驗證該令牌以授權用戶根據提供的權利要求做某些事情。

應用程序信任IDP X =應用程序在IDP註冊以接收X令牌。

聯邦提供商用於什麼？我得到的一個解釋是，當兩個組織不相互信任並且仍然需要員工使用SSO訪問兩個組織網絡時，才使用FP。爲什麼他們不僅僅是相互信任而不是使用FP？

Answer 1

是很困難的縮寫聯合身份驗證，但主要的概念是這些： - 的STS是做認證的事情，所以沒有應用程序必須再處理的密碼。安全明智的是，只有一個地方會變硬。 - 通常，每個依賴方都有自己的安全令牌。 STS將發佈令牌。通常，一旦用戶登錄到任何應用程序，它就會自動發出一個令牌。這提供了單點登錄。只要「cookie」讓你登錄就可以在STS域名下工作。 - 類似地，當用戶註銷時，她將自動使用單一註銷登出所有應用程序。 所以最主要的是你可以連接你想要的任何應用程序。該應用程序永遠不會看到用戶的憑據（因爲只有您自己的STS才能看到它們）。這是創建用戶可以訪問的應用程序的生態系統的安全方式。 另一個好處是通常存儲在安全令牌中的聲明。這些是任何信賴方自動獲得的用戶的財產。如果沒有這樣的機制，您需要創建一些API，以便依賴方可以查詢這種既不安全又更麻煩的信息。此外，安全令牌的過期可確保具有非最新數據的任何應用程序（例如已更改的電子郵件）在用戶登錄並重新登錄或何時獲得最新數據安全令牌過期（這是你必須做出妥協。）

Answer 2

每@paullem

「在WIF /微軟的世界‘身份提供者’（IP或IDP）是對服務器進行身份驗證術語一個用戶（服務器連接到某個帳戶數據庫，AD在當前的ADFS情況下）

聯合服務器/提供程序通常用於從另一服務器接收SAML令牌的服務器，然後將其轉發給下一個Re說謊的黨。

的ADFS服務器通常是/一般都。」

所以它們通常是同一個。

不能記得曾經做一個IDP的安裝這僅僅是一個聯合提供。