authentication - SaaS 产品的 Active Directory 身份验证

Question

在对允许 SaaS 产品针对租户的内部 Active Directory(或其他 LDAP)服务器对用户进行身份验证的最佳方法提供一些理论帮助之后。

该应用程序是托管的，但存在一个要求，即租户可以将身份验证委托(delegate)给他们现有的用户管理提供程序，例如 AD 或 OpenLDAP 等。Microsoft Online 的托管交换等工具支持企业 AD 同步。

假设客户端不想将端口 389 转发到他们的域 Controller ，那么最好的方法是什么？

Answer 1

在进行了一些研究并与一些管理此问题的系统管理员交谈后，我们确定了两个选项，这应该可以满足大多数人的需求。我将在这里为那些也对结果感兴趣的人描述它们。

认证服务安装在组织的 DMZ

如果用户希望使用本地事件目录服务器进行身份验证，他们将需要在其 DMZ 中安装代理并为其打开端口 443。我们的服务将被配置为命中此服务以执行身份验证。

此服务将位于 DMZ 中并接收来自 SaaS 应用程序的身份验证请求。该服务将尝试使用这些凭据绑定(bind)到事件目录并返回一个状态以指示成功或失败。

在这种情况下，应用程序的基于表单的身份验证不会改变，并且用户不会意识到幕后的身份验证。

开放ID

与第一种方法类似，将在客户端的 DMZ 中安装一个服务，并打开 443 端口。这将是一个 OpenId 提供者。

SaaS 应用程序将是一个 OpenId 消费者(已经用于 Facebook、Twitter、Google 等登录)。

当用户希望登录时，将显示 OpenId 提供程序，要求他们输入用户名和密码。此登录屏幕将从客户端的 DMZ 提供。用户永远不会在 SaaS 应用程序中输入他们的用户名或密码。

在这种情况下，现有的基于表单的身份验证将替换为来自客户端 DNZ 中服务的 OpenId 身份验证。

我们正在调查的第三个选项是 Active Directory 联合服务，但它是 Active Directory 专有的。其他两种解决方案支持互联网上任何基于 LDAP 的身份验证。