Scénario d'authentification WIF. Questions d'implémentation de STS

Question

Nous envisageons d'utiliser WIF pour authentifier nos utilisateurs. J'ai donc commencé à rassembler quelques informations sur la manière de procéder. Principalement comment nous devrions créer le STS. J'ai eu du mal à trouver des informations sur notre scénario où nous avons un service "principal" qui sera utilisé par les clients internes et externes.

Les clients internes se connecteront au service via TCP. Les clients de bureau utilisés par nos employés doivent s'authentifier auprès du service en utilisant leurs informations d'identification de domaine (Active Directory). En outre, nous avons un petit nombre d'applications qui utilisent le service pour le traitement des données. Nous souhaitons émettre un certificat pour ces applications. Ils vont ensuite s'authentifier via le STS en utilisant ce certificat et un jeton est retourné contenant les revendications pour cette application. Est-ce possible?

Les clients externes se connectent via HTTP, s'authentifient à l'aide du nom d'utilisateur/mot de passe (client Web) ou d'un certificat similaire à celui mentionné ci-dessus.

Est-ce un scénario valide? Comment implémenteriez-vous ceci dans WIF? Pouvez-vous me signaler certains articles qui, selon vous, vous aideront? Puis-je résoudre ce problème en ayant un seul STS (WCF) ou en ai-je besoin de plus d'un? Un seul STS peut-il gérer plus d'un type d'informations d'identification (AD/nom d'utilisateur/certificat)?

Merci à l'avance. Toute aide sera très appréciée.

Answer 1

Oui, cela peut être facilement accompli avec WCF et WIF. Vous n'avez besoin que d'une implémentation ou d'un service STS, avec trois points de terminaison WCF. Un point de terminaison pour net.tcp avec authentification Windows, un point de terminaison pour l'authentification avec certificats (cela peut être la sécurité des messages avec les informations d'identification client X509 ou la sécurité de transport Http avec les informations d'identification X509) et un autre point de terminaison. Vous voudrez peut-être regarder le kit STS Starter de Dominick Baier, je pense qu'il a déjà fourni une implémentation pour cela dans ce projet.

Il est une question d'exposer le service STS avec deux points d'extrémité comme suit,

ADFS n'est pas requis si vous utilisez WIF. ADFS est une solution fédérée qui s'intègre à AD et monte un STS par dessus. Vous pouvez toujours implémenter votre propre STS et exposer un point de terminaison supplémentaire pour l'authentification Windows dans la configuration de liaison

Merci Pablo.