使用Windows Identity Foundation和WCF的SSO

Question

我们的客户有以下现有产品系列

• Website1（使用存储在SqlDB中的用户信息为website1使用表单身份验证）
• WebSite2（使用存储在SqlDB for website2中的用户信息使用表单身份验证）
• WinApplication1（使用Active Directory对用户进行身份验证）

更多产品符合未来版本。

他们希望为所有具有以下功能的产品实施单点登录（SSO） -

• 将由用户访问的产品列表将取决于他/她的角色。       它应该是可配置的。角色在具有Fk关系的DB中定义       用户表。
• SSO服务应灵活适应新产品。
• 应该使用SAML来获取令牌。
• WinApplication1包含website1和website2的链接。如果用户登录WinApplication1       并点击website1 / website2的任何链接，用户应该可以访问没有的网站        进入他的证书。
• 如果用户在任何产品中登录，则该用户应该全部访问任何其他产品       他没有访问用户名/密码就可以访问权限。

我们有以下查询

• 我们计划使用WCF和WIF实施SSO。可满足以上所有要求       使用WIF。
• 我们希望每个产品都有自己的用户认证部分       自己的用户商店。或者我们应该有中央用户存储？
• STS（在WCF中实施）对SSO＆amp; S的责任应该是什么？       安全

我们已经阅读了很多关于来自MSDN的WIF（http://msdn.microsoft.com/en-us/library/hh377151(VS.110).aspx，http://msdn.microsoft.com/en-us/security/aa570351.aspx）找不到任何可靠的文章/样本给出一些实际场景。他们中的大多数关于使用本地STS ...可能是我运气不好。

Answer 1

我找到了一篇文章，将大部分要求与实际实施示例相匹配。

本文介绍了一种从依赖方应用程序角度在单点登录（SS0）方案中针对Windows Identity Foundation进行编程的简单方法。 WIF支持各种基于声明的身份验证方案，但本文档将重点介绍如果使用包含一些基本声明的SAML 2.0令牌，则使用WIF开发支持SSO的应用程序。

文章还包括一些解释在AD用户中使用角色的部分：

<强> http://www.c-sharpcorner.com/UploadFile/scottlysle/windows-identity-foundation-and-single-sign-on-sso/

要在Web应用程序中调用WCF调用中的原始调用者，您还需要遵循：

<强> http://msdn.microsoft.com/en-us/library/ff650591.aspx

---

<强>更新：

IP-STS和FP-STS之间的区别以及如何选择在您的架构中放置STS的位置。您将了解联合，主域发现以及如何利用WIF可扩展性模型来处理多个身份提供程序。

http://bit.ly/bTo3w4

如何通过身份提供商功能增强通用网站，无论其使用何种身份验证技术，只需添加STS页面即可。 另一个实验室展示了如何使用现有的会员商店来验证对自定义STS的调用和索取索赔值。

http://bit.ly/bQAQhA

WIF和WCF

http://bit.ly/8X63T5

希望它有所帮助。