wcf - 通过 ADFS 对 Web 服务的用户进行身份验证

Question

我希望有人能证实我对 WCF 的 ADFS 的理解（或缺乏！）。

我什至画了一个漂亮的图表。

“Bob”使用托管在客户域上的 Web 应用程序。客户端通过 AD 对 Bob 进行身份验证。但是，Web 应用程序使用在供应商上开发和托管的 WCF 服务。

客户和供应商之间建立了信任。

我的问题 - 当 Web 应用程序使用 WCF 服务时，我希望 WCF 服务重新验证“Bob”，然后 WCF 服务可以使用客户端上的 ADFS 服务器返回的声明。

这张图对吗？

Answer 1

几乎。将 Web 服务和 ADFS（IP-STS）之间的箭头移动到 Web 应用程序和 ADFS 之间。然后，它将发送到 Web 服务的“Bob”是一个由 ADFS 签名的令牌，其中包含关于 Bob 的声明。Web 服务将检查此签名，如果匹配，则认为声明是可信的。

通常，对于像这样的跨组织用例，供应商也会有一个 STS（RP-STS）。将在 STS 之间建立信任。然后，本地应用程序（例如，此图中的 Web 应用程序和服务）只需要信任其本地 STS。这避免了信任关系的完全连接图。

！