使用ADFS的条件身份验证

Question

我们有一个半公开的.Net网站（托管在我们的服务器上），需要通过客户端的ADFS进行身份验证。

我们想在“需要时”重定向到ADFS身份验证站点，然后重定向回我们站点中的一页。

我们的页面需要提取用户信息并建立会话。索赔中有这个吗？我们如何获得这些信息？

重定向到ADFS身份验证站点时，我们希望将信息传递回给我们。

这可能吗？

非常感谢您提供的任何信息。我们到处都是，似乎找不到这种情况。

谢谢！

Answer 1

  

我们的页面需要提取用户信息并建立   会议。索赔中有这个吗？我们如何获得这些信息？

使用AD FS，可以配置在AD FS服务器上配置依赖方时将哪种信息发送回应用程序。它称为索赔签发策略：

您可以在此处配置规则以将LDAP属性的值作为声明发送：

现在，当您在应用程序中解码SAMLResponse时，您将看到一个用户配置文件，其中包含为该特定中继方配置的属性。类似于（注意，在上面的示例中，我将ADFS配置为发送UPN和组）：

{
    "issuer": "http://fs.mysite.com/adfs/services/trust",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": 
    "aduser@mysite.com",
    "http://schemas.xmlsoap.org/claims/Group": [
        "Group 1",
        "Group 2"
    ]
}

  

当重定向到ADFS身份验证站点时，我们希望通过   信息将返回给我们。

     

这可能吗？

是的，您可以使用RelayState。该参数将传递给AD FS，并与SAMLResponse一起返回到应用程序。