openid - 我们的场景推荐什么 : OpenID + self-provider or SAML?

Question

这是我们的情况:

我们拥有一个主门户，在 ASP.Net 4.0

中开发

我们组织内还有一些其他门户网站，它们希望使用我们的门户网站进行身份验证和 SSO。这些门户可以在任何平台上:PHP、经典 ASP、JSP 等

还有一些我们也希望 SSO 的外部门户。这些外部门户是事先众所周知的，并且它们处于封闭环境中:这意味着它们不喜欢使用随机的公共(public) OpenID 身份验证进行登录尝试。

我一直在阅读有关 StackOverflow 和一般情况的各种文章，例如 What is the difference between OpenID and SAML?但我无法断定以下哪一项是上述情况的最佳选择:

OpenID 加上自提供者，使用像 DotNetOpenAuth ( http://www.dotnetopenauth.net/ ) 这样的库。客户只会信任一个 OpenID 提供商:我们。

SAML，起诉像 ComponentSpace ( http://www.componentspace.com/saml )

这样的库

还有其他更好的选择吗？

所有提示将不胜感激:)

Answer 1

让我强调一下 OpenID 和 SAML 之间的一个重要区别。在 OpenID 中，服务提供者不与身份提供者耦合。服务提供者在对用户提供的 OpenID 标识符进行发现之前不知道身份提供者。但在 SAML 中，服务提供者与身份提供者耦合。它们之间存在预定义的信任。

因此，在调查您的案例时，最好的解决方案是使用 SAML。 SAML 将允许您组织中的用户登录到该组织的门户。并且外部门户可以信任您组织的身份提供者，并让您组织的用户也可以登录到这些外部门户。或者，如果这些外部门户已经有自己的身份提供者，那么您可以使用 SAML(例如被动 STS)在外部身份提供者和您组织的身份提供者之间建立信任，并让您组织的用户登录到这些外部门户。