asp.net-mvc - ADFS2016 SAML2 转 OAUTH2/OIDC

Question

我们有一个 MVC 应用程序 (<myapp.somedomain.com>) .net 4.5.2 (OWIN/ADAL)，它通过 OIDC/OAuth2 使用 ADFS2016 进行 AuthN/AuthZ。用户的凭据和属性存储在 AD LDS 中。客户端 (X) 请求通过其 IdP over SAML2 在应用程序中进行身份验证。在不更改应用程序的情况下这可能吗？

我正在寻找的流程；对于此客户端，应用程序的 URL 将是 (<myapp.somedomain.com/?client=x>)。我们的 ADFS 会识别客户并将其重定向到他们的 IdP，他们将在其中进行身份验证，然后将他们连同一些预定义的声明一起发送回我们的 ADFS。我们的 ADFS 会将这些声明映射到 Id 令牌/访问令牌以供我们的应用程序使用。我是在做梦还是这确实可行？

任何关于如何实现这一点的文章/文档的链接都将是最有帮助的。

Answer 1

正如@Wiktor 建议的那样，您可以将 SAML客户端堆栈添加到您的应用程序中。

另一种方法是将 ADFS 与 SAML IDP 联合。

当用户被重定向到 ADFS 时，他们使用 Home Realm Discovery 重定向到 SAML IDP 或直接在 ADFS 上进行身份验证。

ADFS 应该处理令牌转换，但您可能不得不摆弄声明规则。