單點登錄到遠程窗體驗證過的網站

Question

我們有一個外部面向Forms驗證的網站。

一位新客戶請求他們不希望他們的用戶必須維護（記住）並向我們的網站輸入憑據，並且他們應該能夠使用他們的Windows網絡憑證無縫登錄。

我上次檢查時，這是不可能的，但我想知道是否有人有類似的要求，他們是如何實現的。

我們應該使用SSO提供商進行調查嗎？

Answer 1

完成此操作的正確方法是採用SAML 2.0來處理應用程序和客戶的Windows網絡信用（存儲在Active Directory中）之間的用戶身份信息交換。採用SAML作爲身份驗證選項可爲您提供最大的安全性/靈活性，並允許您的客戶實施他們想要的任何類型的身份驗證。 SAML最終成爲基於標準的方法，您可以在其中安全地與您的客戶交換身份信息。

在非常高的水平上，您的客戶將實施SAML 2.0身份提供商，使他們能夠利用其現有的Windows憑據（有許多第三方應用程序可讓他們輕鬆完成此操作。作爲一個例子[注：我爲Ping身份工作]）。一旦用戶被安全認證，數字簽名的SAML響應由IDP（包含用戶的身份）生成並通過瀏覽器發送到您的應用程序。您的應用程序將驗證該響應，然後授予用戶對您的應用程序的訪問權限。

一些幫助您更好地瞭解流動 -

• http://documentation.pingidentity.com/display/PF70/IdP-Initiated+SSO--POST#IdP-InitiatedSSO--POST-1056251
• http://en.wikipedia.org/wiki/SAML#The_SAML_Use_Case

平安標識也有一個服務，讓您快速實現SAML 2.0服務提供商的要求通過一個簡單的RESTful API（https://www.pingone.com/#developer）。

HTH - 伊恩

Answer 2

聽起來像是你的客戶應該在他們的基礎設施部署ADFS2.0。 ADFS是一種身份提供程序，可以爲受限應用程序公開Active Directory身份。

然後，在您的應用程序中，您只需使用遠程adfs實施WS-federation身份驗證。從技術上講，你有兩個不同的流量，那麼：

• 一些用戶用自己的用戶名登錄/密碼
• 其他用戶clicka登錄頁面發起的遠程認證「遠程ADFS登錄」按鈕 - 它會重定向到用戶提供用戶名/密碼的遠程adf，然後攜帶聲明的SAML令牌會回到您的應用程序。聲明可以描述的用戶名，電子郵件，用戶ID，角色（組）或任何其他Active Directory屬性

由於ADFS2是Windows Server的一個免費下載的組件，你應該在部署它沒有什麼大的問題。

這個免費的電子書應該是得心應手

http://msdn.microsoft.com/en-us/library/ff423674.aspx