在ADFS 4.0中为OpenID Connect客户端启用访问策略

Question

AD FS支持OpenID Connect协议，用于对用户进行身份验证。 AD FS支持WebAPI应用程序的访问策略，但不支持服务器应用程序，至少不是我能找到的。

是否可以为服务器应用程序定义访问策略？业务场景非常简单：只允许定义组中的用户在给定特定客户端ID的情况下进行身份验证。

如果企业使用AD DS部署AD FS并部署多个应用程序（每个应用程序单独注册，从而获得唯一的客户端ID和客户端密钥），这可用于允许/禁止用户对给定的ADFS进行身份验证（注册）客户（依赖方）。

Answer 1

看来这可以通过在同一个应用程序组中定义两个应用程序来实现：

1. 服务器应用程序，除client secret
外还有client id
2. WebAPI应用程序，您可以为其定义访问策略。

为了使其工作，您需要将依赖方标识符（服务器应用程序的client id）分配给WebAPI标识符，并确保WebAPI应用程序的“客户端权限”包含服务器应用程序

如果未成功评估访问策略，则依赖方（请求身份验证的应用程序）将收到access_denied消息。

申请组：

服务器应用程序：

WebAPI应用程序：