将Windows域身份验证与外部网站集成

Question

我是一个小型互联网托管应用程序（SAAS）开发人员，当我启动时，我希望我的大多数客户都会使用标准的电子邮件+密码技术对我的应用程序进行身份验证（登录）。

但是，我想为大型客户提供更好的单点登录选项，这些客户将拥有我系统潜在用户的现成社区。此类社区通常会运行已经针对内部企业Windows域控制器进行身份验证的Windows桌面。

我正在寻找一些选项来增强我的网站用户身份验证过程并信任或委托客户的域身份验证。在任何这样的集成中，我都是初级合作伙伴，因此我怀疑一家大公司是否允许我运行一个挂在他们系统上的卫星域控制器。 SAAS应用程序的经济性不允许硬件VPN电路。

Azure云可能会用于托管我的SAAS应用程序，如果这有助于澄清选项。

Answer 1

您可以使用的另一个选项是Active Directory联合身份验证服务（ADFS）。 看看Overview of Active Directory Federation Services (ADFS) in Windows Server 2003 R2

Answer 2

由于您希望为小型和大型客户托管此功能，我建议您使用Windows Azure ACS（访问控制服务）进行设置。

这允许您的应用程序使用任何身份提供商，如facebook，google，live id和yahoo。 ACS还将允许通过ADFS联合到Active Directory。

因此，您可以为客户提供所有可能的选择，并使您的应用程序代码保持不变。

Answer 3

第1步：在您的域上配置其域的单向信任。你这样做，他们没有参与。

第2步：使用SSPI通过kerberos或SSL获取凭据。