security - 将外部用户放在 Active Directory 中是一种不好的做法吗？

Question

我们有一个现有的 Web 应用程序，我们希望从自定义身份验证解决方案迁移到 Active Directory 联合身份验证服务，以便我们的合作伙伴组织可以管理其用户的授权。

现在该站点使用自定义数据库表来管理用户和自定义逻辑来管理身份验证和授权。

除了将通过 ADFS 对其用户进行身份验证并获得访问权限的合作伙伴组织之外，我们还有位于我们的 Active Directory 域中的内部用户。这些用户也可以通过 ADFS 进行身份验证。

我们的问题围绕着我们的外部用户。该网站还允许个人注册。这些人没有为其工作的任何组织，因此我们无法使用 ADFS 来处理他们的身份验证。

由于我们需要支持这些人，我们需要管理他们的用户帐户。

ADFS 只能连接到 Active Directory 或 Active Directory 应用程序模式帐户存储。

由于 ADFS 仅支持这些帐户存储，因此逻辑解决方案似乎是在我们的 Active Directory 域中为外部用户创建帐户。

这意味着我们将更新我们的注册页面以在 Active Directory 中创建新用户帐户，而不是在我们的自定义数据库中创建新记录。

那么，这是一种不好的做法吗？ AD 是否应该用于组织外部的用户？其他人在使用 ADFS 时如何处理这种情况？

Answer 1

为您的外部用户创建一个新的 AD 林，您可能需要设置一些更好的安全性，但可以将两者连接起来进行无缝身份验证。

您需要在登录时告诉他们使用不同的域(例如，您的普通用户使用“mycorp”，外部用户使用“externalcorp”)，否则它是完全透明的。