asp.net - 在 MVC5 中通过 ADFS 支持个人用户帐户和内部组织帐户

Question

我们构建了一个新的(即将上线).NET 网络应用程序，它使用个人帐户。所有身份管理工作正常。该应用程序仅供公司员工使用，但需要在外部可供他们使用。身份角色(安全级别)和声明(用户属性)在应用程序中进行管理。

如果用户在 Windows 计算机上(并登录到域)，现在的要求是 SSO，如果尚未通过 Windows(或非Windows 设备)。通过外部帐户登录，如 facebook 未激活(尽管安装了 OWIN)。

只是为了明确目标:应用程序中存在用户帐户，角色和声明由应用程序所有者从应用程序内部管理，而不是由 IT 在 AD 中管理。如果用户已经在她的 Windows 计算机上，则应用程序会识别凭据，并且不需要登录页面。如果用户不在 Windows 上(vpn 不可用，或在非 Windows 设备上)，他们将被定向到针对 Active Directory 进行身份验证的登录页面。

该应用使用所有最新版本的 MVC 5.2、EF 6.1 和 Identity 2.1。

我找到了有关配置 Azure 以及使用 ADFS 和代理在本地使用的信息，但我仍然没有完整了解如何在仍然使用本地用户帐户的同时结合来自 AD 的用户凭据和声明角色和声明。

认证应该如何配置？是什么将个人用户帐户与 AD 帐户联系起来？

欢迎提供有关如何配置的任何链接和具体步骤。

Answer 1

使用 ADFS 的好处是，它取代了您的登录页面。把它想象成一个 facebook 登录。当用户来自外部时，ADFS 服务器将不会获得 windows 身份验证，因此它会显示自己的登录页面。您不必执行任何操作。

唯一重要的部分:adfs 服务器 Web 前端必须发布到 Internet，您的应用程序和 adfs 登录 Web 都需要 SSL。

您的应用所做的只是重定向到 adfs 服务器并返回。就像默认的 Facebook 登录一样。

另请查看用于联合登录的新 owin 中间件。它比项目模板使用的旧 web.config 怪兽方式容易得多。中间件的工作方式与社交登录非常相似。