openid - 我们的场景推荐什么：OpenID + self-provider 还是 SAML？

Question

这是我们的情况：

• 我们拥有一个使用 ASP.Net 4.0 开发的主门户
• 我们组织内还有一些其他门户网站，它们希望使用我们的门户网站进行身份验证和 SSO。这些门户可以在任何平台上：PHP、经典 ASP、JSP 等
• 还有一些我们也希望 SSO的外部门户。这些外部门户是事先众所周知的，并且它们处于封闭环境中：这意味着它们不喜欢使用随机的公共 OpenID 身份验证进行登录尝试。

我一直在阅读有关 StackOverflow 和一般情况下的各种文章，例如OpenID 和 SAML 之间有什么区别？但我无法断定以下哪一项是上述情况的最佳选择：

• OpenID 加上自提供者，使用像 DotNetOpenAuth ( http://www.dotnetopenauth.net/ ) 这样的库。客户只会信任一个 OpenID 提供商：我们。
• SAML，起诉像 ComponentSpace ( http://www.componentspace.com/saml )这样的库
• 还有其他更好的选择吗？

所有提示将不胜感激:)

Answer 1

让我强调一下 OpenID 和 SAML 之间的一个重要区别。在 OpenID 中，服务提供者不与身份提供者耦合。服务提供者在对用户提供的 OpenID 标识符进行发现之前不知道身份提供者。但在 SAML 中，服务提供者与身份提供者耦合。它们之间存在预定义的信任。

因此，在调查您的案例时，最好的解决方案是使用 SAML。SAML 将允许您组织中的用户登录到该组织的门户。并且外部门户可以信任您组织的身份提供者，并让您组织的用户也可以登录到这些外部门户。或者，如果这些外部门户已经有自己的身份提供者，那么您可以使用 SAML（例如被动 STS）在外部身份提供者和您组织的身份提供者之间建立信任，并让您组织的用户登录到这些外部门户。