security - 真的有人在使用 Active Directory 联合身份验证服务吗？这是一项值得投资的技术吗？

Question

更一般地说，谁在 Windows 平台上成功地使用了 WIF/ADFS/SSO，它是否值得实现，它成为一项持久技术的可能性有多大？

从表面上看，阅读一些whitepapers (PDF) , articles和 books就此主题而言，这似乎是完美的解决方案——尤其是对于拥有内部网站并向外部用户和合作伙伴(或计划在未来)公开某种级别功能的公司而言。但这听起来太完美了。我所掌握的大部分信息都来自微软本身。

我想我的具体问题是:

• 这是一项持久的技术并值得投资(特别是对于规模较小(<50 人)的公司)吗？
• 有没有大公司在积极使用它？
• 如果我们希望其他人为他们的公司作为受信任的发行人提供身份验证，那么合作伙伴愿意设置 STS 的可能性有多大？这里会有很多阻力吗？
• 这最终会成为一场配置噩梦吗？
• 在决定是否实现此计划时，是否还有其他需要注意的陷阱？

Answer 1

随着越来越多的应用程序迁移到云端和在线服务，您将看到 ADFS 和其他联合身份技术的使用量增加。由于拥有成本低，投资于 Active Directory 的组织可能会转向此解决方案。

这是一项持久的技术并值得投资(特别是对于规模较小的公司(<50 人))吗？

• 如果您计划向其他公司提供托管服务或计划自己利用这些服务，ADFS 提供了一种相当轻松的方式来利用您当前的安全基础设施。
• 如果实现得当，用另一个联合产品替换应该会相当简单。

有没有大公司在积极使用它？

• 我只熟悉我工作过的一个政府机构，但我敢肯定还有其他机构。联合身份的性质使得很难从外部识别谁。

如果我们希望其他人为他们的公司作为受信任的发行人提供身份验证，那么合作伙伴愿意设置 STS 的可能性有多大？这里会有很多阻力吗？这最终会成为配置噩梦吗？

• 配置是 ADFS 中最困难的部分。但是，一旦您建立了信任关系并创建了策略，配置就会自动进行。
• 其他公司要么拥有支持 ADFS 的基础设施，要么没有。甚至 .NET 应用程序也需要更改配置以支持 ADFS，并且更有可能需要更改代码以完全支持联合身份模型。如果您的合作伙伴具备此条件，他们很可能会很乐意信任您的 STS。
• 询问您的合作伙伴有哪些设施，他们今天可能已经拥有或正在规划基础设施。

在决定是否实现时，是否还有其他陷阱需要注意？

• 我遇到的最困难的问题是改变应用程序开发人员的做法。
• 应用程序需要围绕联合进行设计，或者需要对其进行改造。
• 您不能在不注销所有 ADFS 应用程序的情况下注销 ADFS 应用程序。
• 当联合 session 到期时，您必须将用户发送回联合服务以获取新票证。如果处理不当，这可能会导致发布数据丢失。