active-directory - ADFS 3.0 基于依赖方的自定义登录

Question

我们计划在我们的消费者网站之间实现无缝单点登录，并且需要以下功能，

1. 我们所有的外部用户都应该在单独的活动目录域中。
2. 用户应该在 Java 和 .Net 应用程序之间获得无缝登录。
3. 每个网站的登录屏幕应该看起来不同，即基于依赖方区域和 URL 的不同页眉和页脚。
4. 密码重置应该是一项自助服务。

我们不确定 ADFS3.0 是否适合我们。我对 ADFS 功能进行了一些研究，但找不到任何支持上述功能的直接文档。

如果 ADFS 3.0 足够好，请指导我如何实现这些功能。

Answer 1

虽然您可以通过对 URL 的 JavaScript 评估进行一些自定义以识别 RP，但这不是 ADFS 2012R2 (3.0) 的可扩展解决方案。请查看 ADFS 2016 (4.0)，它即将接近 RTM，我们在其中添加了对此的支持。您可以在服务器 2016 的 TP5 版本上进行验证。

检查https://technet.microsoft.com/windows-server-docs/identity/ad-fs/operations/ad-fs-user-sign-in-customization上的“为每个 RP 分配自定义 Web 主题”部分。

如果您需要更多帮助，请在推特上给我@MrADFS。

谢谢//山姆（@MrADFS）

Answer 2

回答一些问题：

2) 是的——只要您的 Java 和 .NET 应用程序是基于声明的。

3) 根据@MrADFS，针对 ADFS 4.0（服务器 2016）的 OOTB。否则，请参阅根据信赖方信任自定义 AD FS 登录页面。

4) 是的 - 请参阅ADFS : Expired password和其中的链接。