active-directory - 在 AD 中处理帐户以针对不同应用程序进行 SSO 的正确方法

Question

如果您有 4 个要使用来自 ADFS 的 OpenID Connect token 保护它们的应用程序，SSO 将如何工作？

这 4 个应用程序没有用户注册，但是它们需要来自 IdP (ADFS) 的不同声明。您是否需要为每个用户创建 4 个不同的用户帐户才能登录所有 4 个应用程序？

如果您需要为每个用户设置 4 个不同的用户帐户，那么用户是否需要先从 app_1 注销并在 app_2 上登录？

我很感激所有的建议。

Answer 1

假设每个应用程序在 OIDC 模式下从 ADFS 接收一个 ID token ，那么作为该 ID token 一部分的每个应用程序都可以访问主题/用户 ID，并且可以为用户配置文件交换该 ID token 。作为 OIDC OP 运行的 ADFS 需要配置为为每个应用程序发布正确的声明，当然每个应用程序都应该在初始身份验证时请求正确的所需范围，以便 ADFS 可以授予所需的声明。

每个应用程序都会收到一个 ID token ，并开始建立与该用户相关联的自己的 session 。由于应用程序 session 独立于 SSO session ，因此如果您需要实现单点注销，则需要协调一致的工作。