使用Active Directory爲ASP.NET Web Apps實現SSO的最佳方式是什麼？

Question

我的組織有幾個面向ASP.NET Web Forms Apps的Web。他們目前使用啓用模擬的Windows身份驗證。網絡應用程序在內部託管，但通過不同的域公開公開，例如www.abc.com & www.xyz.org。

一個新的要求是，將爲所有這些應用程序的用戶提供一個登錄頁面以便通過登錄。

一些提出的解決方案是：

• 實現由Active Directory（DotNetOpenAuth）支持OpenID提供者，修改現有的應用程序變得依賴這個OP的政黨。
• 通過MS Forefront威脅管理網關實施SSO。

我沒有這些經驗。建議的解決方案是否可行？每個的優缺點是什麼？還有其他解決方案可能更合適嗎？

Answer 1

OpenId Provider是一個相當不錯的主意。這將是一條更簡單的路線，網絡上有一些很好的細節。

您可能還想查看Active Directory聯合身份驗證服務。

http://msdn.microsoft.com/en-us/library/bb897402.aspx

它是爲企業轉移到託管解決方案並不少見期待實現聯合服務，這是微軟的東西時設置並建立Azure的預期 - 是企業的友好。

他們在這裏彙總了一份全面的指南，雖然與您的問題沒有直接關係，但它確實具有關於聯合服務背後技術的大量細節。

http://msdn.microsoft.com/en-us/library/windowsazure/hh127796.aspx

更多的想法和信息，特別是利弊，看看這些文章，其回答的人更深入：

http://technet.microsoft.com/en-us/magazine/ff721824.aspx

http://windowsitpro.com/active-directory/ease-cloud-security-concerns-federated-identity

個http://www.csoonline.com/article/221034/the-truth-about-federated-identity-management

一些DotNetOpenAuth想法：

http://www.codeproject.com/Articles/325228/Choosing-technologies-for-NET-project

http://social.msdn.microsoft.com/Forums/en-US/windowsazuresecurity/thread/7a1c4e0c-346c-4008-9e5c-87ba1273b2aa/

最後，我們親自去與OpenAuth我的團隊解決方案之一。一旦我們花時間真正理解RFC（這不容易，但值得花時間去做），這個實現是相當痛苦的。網絡上還有大量資源可用於實施。