Was ist der beste Ansatz für SSO mit internen AD-Benutzern und externen Benutzern?

Question

Wir haben eine Webanwendung (asp.net mvc 3), die SSO für interne Zwecke über AD unterstützen soll. Wir haben auch eine große Gemeinschaft von externen Benutzern, die wir SSO für alle unsere Webanwendungen haben wollen. z.B.: external_user1 greift auf webappA, webappB und webappC mit demselben Login zu. Auch die Domäne \user1 Wir planen, WIF und ADFS 2.0 zu verwenden.

Wir möchten nicht für alle externen Benutzer AD-Konten einrichten, daher haben wir in der Vergangenheit eine Lösung mit ADFS 1.x und ADAM versucht. Wir arbeiten jedoch mit Windows Server 2008 R2 und ADFS 2.0 kann AD LDS (Nachfolger von ADAM) nicht zur Authentifizierung von Benutzern verwenden.

Was ist der SSO-Ansatz (mit Microsoft-Produkten)?

Answer 1

Die Schlüsselfrage ist, ob Sie den Kontospeicher external_user1 nutzen können oder nicht. Wenn dies der Fall ist, müssen Sie lediglich eine weitere Vertrauensbeziehung zwischen Ihrem ADFS und dem jeweiligen STS einrichten, und schon sind Sie fertig! Dieser Ansatz wäre ideal, denn dann müssten Sie external_user1 nicht mehr pflegen. Im Wesentlichen dies:

Wenn Sie diese Benutzerkonten nicht nutzen können, können Sie immer noch ADFS v1.1 verwenden und eine Vertrauensstellung zu sich selbst aufbauen:

Answer 2

Könnten Sie nicht einen benutzerdefinierten STS erstellen, der die Authentifizierung gegen ADAM ermöglicht und eine Vertrauensbeziehung zu ADFS v2.0 hat?

Answer 3

Zusätzlich zu Eugenios Antwort sollten Sie sich über Microsoft Azure ACS informieren. Damit können Sie Gooogle, Facebook, Yahoo und andere OpenId-Anbieter einbinden.

Ihre Authentifizierungskette wird wie folgt aussehen:

Ihre Anwendung -> ADFS -> Active Directory oder Ihre Anwendung -> ADFS -> ACS -> Google.

Wenn Sie auf dieser Website nach dem Stichwort ADFS suchen, finden Sie viele relevante Beiträge.

Answer 4

Obwohl sich diese Frage auf ADFS 2.0 bezog, in dem die Unterstützung für LDS als Identitätsanbieter weggefallen ist, sieht es so aus, als würde dies in ADFS 4.0 wieder eingeführt werden

https://technet.microsoft.com/en-us/library/dn823754.aspx

https://jorgequestforknowledge.wordpress.com/2014/10/20/configuring-a-new-identity-store-as-a-claims-provider-in-adfs/