c# - 使用联合安全保护服务器应用程序之间的 WCF 服务调用

Question

我有两个使用相同 STS 进行身份验证的 MVC 站点。我需要创建一个 WCF 服务作为允许其他站点检索数据的站点之一的一部分。

这些站点可以位于可通过 Internet 访问的不同机器上(尽管目前它们位于同一台机器上)并且 WCF 服务应该只能从客户端站点访问。用于登录客户端站点的身份验证 token 应传递给 WCF 服务。

我一直在研究可用的不同 WS-Security 选项(传输、消息等)，它并没有 100% 地下降，我觉得我最终会实现一些看似安全但实际上并不安全的东西由于缺乏了解而安全。非常感谢任何帮助。

编辑:

我的第一次尝试是使用传输层安全并在 IIS 中设置需要 SSL 的 WCF 服务虚拟目录。然而，这给我留下了一个错误:

“根据验证程序，远程证书无效。”

而且我无法确保特定客户端连接到该服务，只能确保客户端拥有来自可信 CA 的证书。至少据我所知。我可能在这里遗漏了一些重要的东西。

Answer 1

The authentication token used to log into the client site should be passed through to the WCF service.

在这种情况下，您应该从 STS 请求“ActAs” token :

1. 应将 WCF 服务配置为 STS 的依赖方。
2. MVC 站点应回调 STS 并请求特定于 WCF 服务的 ActAs token 。
3. MVC 站点使用 ActAs token 来调用服务。

复杂性的动机:Delegation, or traversing multilayer architectures

既然您提到了 WS 标准: Requesting Delegation (ActAs) Tokens using WSTrustChannel (as opposed to Configuration Madness)

不知道您的 STS 很难说更多，但谷歌搜索“ActAs token”可能会为您提供所需的信息。