asp.net-mvc - 如何将现有的 asp.net MVC 应用程序与 IdentityServer 集成？

Question

如何将现有的 asp.net MVC 应用程序与单独的 IdentityServer 应用程序集成？

我有一个现有的 asp.net MVC 站点，使用 Identity 2.0 进行身份验证。

我现在有第二个应用程序运行 asp.net Core 1.1，它提供与客户端(移动)应用程序通信的 API。

我需要在所有 3 个应用程序之间共享身份验证。

根据我的阅读，我需要添加 SSO，而 IdentityServer 似乎是一个很好的解决方案。我计划将 IdentityServer 设置为第四个应用程序，并将其连接到新的 .net API 应用程序和客户端应用程序。

但我找不到任何示例来说明如何让我现有的 Asp.net 应用程序使用新的身份服务器进行身份验证。

Answer 1

如您所说，您将有 4 份申请。

1. 用于身份和访问控制的 IdentityServer4 应用程序。这将是 SSO 服务和 STS(安全 token 服务)——权威。从今天开始，您将在 ASP.NET core 1.1 中构建它。要成为 SSO，您当然需要有一个用户数据库；使用 ASP.NET Identity 效果很好，并且与 IdentityServer 很好地集成。

2. 您的 Web API，您所说的正在运行 ASP.NET Core 1.1。在 OAuth 术语中，这称为 API 资源。您可以将此 API 分割为单独的安全部分，称为 API 范围。

3. 现有的 MVC Web 应用程序以及 ASP.NET Identity 中的当前用户数据库。这将是 IdentityServer 权限(上面#1)的客户端。您可以使用授权代码流(更安全)或选择隐式或混合流。有关如何将 ASP.NET MVC Web 应用程序设置为 IdentityServer 实例的客户端的示例，请参阅其官方文档:http://docs.identityserver.io/en/latest/quickstarts/3_interactive_login.html#creating-an-mvc-client .

本质上，你

(a) 向 IdentityServer 注册客户端，然后

(b) 在客户端应用程序中添加一些启动代码，告诉它使用 IdentityServer 进行身份验证 - 像这样...

app.UseOpenIdConnectAuthentication(new OpenIdConnectOptions
{
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = "http://localhost:5000",
    RequireHttpsMetadata = false,

    ClientId = "mvc",
    SaveTokens = true
});

此时，您可以使用内部用户数据库进行登录，也可以使用外部 IdentityServer，也就是说，您可以通过两种不同的方式登录 MVC Web 应用程序。 IdentityServer 应用程序可以被视为 MVC Web 应用程序的“外部提供商”。

您是否要将现有的用户名和密码(以及角色等)迁移到新的 IdentityServer 实例/数据库？这个答案必须是"is"才能实现 SSO 以及跨应用程序的共享身份和访问控制。

仅当用户使用 IdentityServer 应用程序登录时才可以进行 SSO。不过，您可能实际上无法实现 SSO，因为他们在台式机上使用浏览器，在手机上使用移动应用程序 - 无法真正跨设备共享 cookie 或 token 。

移动客户端。这将是另一个类似于 MVC Web 应用程序的客户端，除了使用隐式流之外。再次注册客户端，然后编写应用程序代码。