ADFS - 限制用戶訪問和提供用戶屬性的最佳做法

Question

我們有一個客戶端，我們已經構建了一個webapp，我們允許他們的成員通過他們提供的ADFS服務器通過sso訪問此webapp。在webapp實現之後，客戶端回到我們並且說我們需要查詢數據庫表以確定是否允許通過sso登錄的用戶訪問webapp。我們還需要現在訪問此表以確定此用戶的帳戶類型 - 即他們是員工管理員，付費會員還是免費會員

我已經完成了多個SAML/ADFS集成，但從未配置過ADFS。我發現很難弄清楚這裏的最佳做法。我認爲最好的做法是讓他們的ADFS服務器完全控制對webapp的訪問，並根據用戶的某種分組進行限制。我也希望關於用戶的關鍵屬性（例如TYPE）在成功登錄後回到響應中。我擔心如果我們按照他們想要的方式實施事情，我們不會最終得到一個可靠的解決方案。

我真的在尋找什麼是最佳實踐和一些信息的一些建議，所以我可以回答一拳，因爲我覺得他們的IT團隊誰要求我們以特定的方式做事情，很大程度上是試圖避免實施的東西他們負責。

感謝您的時間和建議！

Answer 1

ADFS是基於聲明的，最佳做法是根據作爲聲明在令牌中傳遞的AD安全組（以ADFS術語，角色）限制訪問。