federated-identity - 日内瓦框架中 RP-STS 的简单声明转换

Question

在阅读了 MSDN 文章 (http://msdn.microsoft.com/en-us/magazine/2009.01.genevests.aspx) 之后，我对使用 Microsoft Geneva 框架实现自定义 STS 感到有些困惑。这种情况显示在上述引用文章的图 13 中。

我的问题是关于 RP 如何发起对 RP-STS 的调用以传递已经从 IP-STS 获得的声明？所需的方法 DeleteOrder() 如何变成来自 RP-STS 的 Action 声明的声明请求，RP-STS 以带有值 Delete 的 Action 声明进行响应，该值授权调用？我还认为这个数字有点不正确，因为 RP-STS 和策略引擎之间的交互应该有相反的声明和箭头。

我可以看到结构，但尚不清楚日内瓦/WCF 提供了什么以及必须在 RP 内的代码中完成什么，这似乎有点奇怪，因为我们无法通过 PrincipalPermission 对 Delete 的需求来保护 DeleteOrder 方法”权限”，但必须先要求一个角色，然后在该点之后获得删除操作的细粒度声明。

如果我错过了重点(因为我无法在网上轻松找到这个案例)，那么道歉!

提前致谢。

Answer 1

我在日内瓦论坛上问了同样的问题
http://social.msdn.microsoft.com/Forums/en/Geneva/thread/d10c556c-1ec5-409d-8c25-bee2933e85ea?prof=required
并得到了这个回复:

嗨，多基，

当我读到那篇文章时，我也想知道同样的事情。当我思考如何实现这样的场景时，我提出了两个想法:

RP 实际配置为需要来自 RP-STS 的声明； RP-STS 需要来自 IP-STS 的安全 token 。结果，当主体请求 RP 的资源时，它会将他反弹到 RP-STS，RP-STS 将他反弹到 IP-STS。在那里进行身份验证后，他被退回到 RP-STS，以身份为中心的声明被转换为做出授权决定所必需的声明并返回给 RP。

RP 配置为具有一个拦截器(例如，如果它是 WCF 服务，则为 AuthorizationPolicy)，该拦截器捕获调用，查看以身份为中心的声明，创建 RST(使用 WSTrustClient)，将其传递给 RP-STS，该服务将声明扩展为返回给 RP 的新声明，RP 做出授权决定。

我从来没有实现过这个，但是，如果我打算这样做，我会进一步探索这两个想法。

!

问候，

特拉维斯·斯宾塞

因此，我将首先尝试选项 2，看看是否可行，然后在此处制定答案。