所有
我对Windows Intentity Foundation背后的一些概念以及第三方“可信”环境中有关授权的整体架构设计感到困惑。我想我可能错过了一些东西，但我看不出它在现实世界中是如何运作的。
例如，我们在门户网站后面有许多系统。客户可以访问门户网站，根据他们的权限，他们可以访问每个不同应用程序的功能。在当前场景中，我们可能有一个身份验证步骤（用户ID /密码），它将授权身份/主体（针对自定义身份验证存储）传递给每个应用程序。然后，应用程序使用此预先验证的身份查找其自己的角色，以允许用户访问某些功能。
这都是内部管理的 - 即每个应用程序都了解自己的角色，因此每个应用程序都有自己的管理功能，可以将用户映射到角色。
好的，所以它有效，但管理很麻烦，我们的客户必须记住我们的门户用户ID和密码。
我想迁移到受信任的环境，以便我们信任来自其STS的令牌，并且身份验证全部隐藏。但是，我根本无法看到授权将如何工作 - 我们要求每个第三方在其STS中实现角色以传递令牌。我们已经将管理员转移到他们身上，这可能会打破他们的安全模型。
因此我们无法将授权委托给他们，仍然需要将受信任令牌的映射管理到应用程序所需的角色。
因此受信任的STS的巨大好处是，用户A离开受信任的公司123并且用户B加入接管，他们不必等待我们做出任何改变.....只是不切实际在现实世界中。
这真是一种耻辱，因为我非常喜欢这个想法。
我错过了一些基本的东西吗？
答案 0 :(得分：0)
为了回答我自己的问题，我与微软的一位建筑师谈到了这一点，并且他大致同意了。您可以创建规则以将第三方数据映射到您的应用所需的属性，但如果第三方不准备更改其系统（例如Active Directory），那么您就会陷入困境。
因此，IMO第三方同意在其AD域中添加新属性以支持您的应用程序的可能性很小，这为支持WIF和可信赖STS的精神留下了相当大的漏洞。