5

我能够从 ACS 中配置的各种身份提供程序中检索、解码安全令牌 (SWT)。现在我应该 - 根据示例 - 能够做到这一点：

String headerValue = string.Format("WRAP access_token=\"{0}\"", securityToken);

WebClient client = new WebClient();
client.Headers.Add("Authorization", headerValue);

using (Stream stream = client.OpenRead(@"http://xxx.cloudapp.net/xxx.svc/users"))
using (StreamReader reader = new StreamReader(stream))
{
    String response = reader.ReadToEnd();
}

例如，它在某种意义上对不存在的端点失败了。所以服务就在那里（安全），服务器端的令牌模块和令牌验证器被调用，令牌通过。所以不是这样。但无论如何，问题在于响应包含登录页面的 HTML（其中包含身份提供者列表的页面）。似乎令牌验证没问题，但仍然不足以保证安全。

我现在应该怎么做才能从服务接收我的数据？有什么提示吗？

场景：http ://tinyurl.com/WcfRestSaml

更新：我已经包含了我想要实现的场景图片的链接。

更新 2：好的，我已经切换到 Saml2，但发生了同样的错误。然后我发现我需要断言来接收访问令牌。所以我做了：

WebClient client = new WebClient { BaseAddress = string.Format("https://{namespace}.accesscontrol.windows.net") };
NameValueCollection parameters = new NameValueCollection
{
    { "wrap_assertion_format", "SAML" },
    { "wrap_assertion", securityToken },
    { "wrap_scope", "http://{our}.cloudapp.net/" }
};

Byte[] responseBytes = client.UploadValues("WRAPv0.9", parameters);
String response = Encoding.UTF8.GetString(responseBytes);

这也会返回另一个错误：

错误：代码：401：子代码：T0：详细信息：ACS50008：SAML 令牌无效。：TraceID：1d3774fa-a5e6-3e3b-a5e5-5a0bde6e0771：时间戳：2013-06-06 16:18:05Z

但这似乎应该返回我想要的访问令牌。

更新 3：没有任何帮助，无处可收集信息，该死。我在盲目的情况下发布了一个完整的令牌，至少有人会注意到有问题（尽管我已经删除了敏感信息）。

<Assertion ID="_541a71ba-1e00-478c-8d2b-0beac3a35d35" IssueInstant="2013-06-07T11:38:31.741Z" Version="2.0" xmlns="urn:oasis:names:tc:SAML:2.0:assertion">
  <Issuer>https://{removed}.accesscontrol.windows.net/</Issuer>
  <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:SignedInfo>
      <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
      <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
      <ds:Reference URI="#_541a71ba-1e00-478c-8d2b-0beac3a35d35">
        <ds:Transforms>
          <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
          <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        </ds:Transforms>
        <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" />
        <ds:DigestValue>{removed}</ds:DigestValue>
      </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue>{removed}</ds:SignatureValue>
    <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
      <X509Data>
        <X509Certificate>{removed}</X509Certificate>
      </X509Data>
    </KeyInfo>
  </ds:Signature>
  <Subject>
    <NameID>https://www.google.com/accounts/o8/id?id={removed}</NameID>
    <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer" />
  </Subject>
  <Conditions NotBefore="2013-06-07T11:38:31.694Z" NotOnOrAfter="2013-06-07T12:38:31.694Z">
    <AudienceRestriction>
      <Audience>http://{removed}.cloudapp.net/</Audience>
    </AudienceRestriction>
  </Conditions>
  <AttributeStatement>
    <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress">
      <AttributeValue>{removed}</AttributeValue>
      <AttributeValue>https://www.google.com/accounts/o8/id?id={removed}</AttributeValue>
      <AttributeValue>{removed}</AttributeValue>
    </Attribute>
    <Attribute Name="http://schemas.microsoft.com/accesscontrolservice/2010/07/claims/identityprovider">
      <AttributeValue>Google</AttributeValue>
    </Attribute>
  </AttributeStatement>
</Assertion>
4

1 回答 1

0

如上所述：

我们已经通过 Microsoft 支持解决了这个问题，这是由于服务在被动联合之后造成的，并且该过程显然不喜欢。我通过<RequestSecurityToken>为 SAML2 断言令牌创建一个信封解决了这个问题，这样它“模拟”了浏览器活动，它运行良好，并且在被动联合中也能很好地发挥作用（由于 WS-TRUST 信封）。

它需要先通过它，然后再连接到 ACS。问题根本不在于访问令牌或 SAML 断言。正如我已经指出的那样，这是由于网站的一部分位于自定义 STS 联盟的背后。WS 联合模块正在阻止接收此令牌。当我将它封装在 RequestSecurityToken 中供 WS Federation 使用时。然后它传递给 ACS，如我的问题中所述。

于 2017-04-14T13:05:50.597 回答