使用Active Directory为ASP.NET Web Apps实现SSO的最佳方式是什么？

Question

我的组织有几个面向ASP.NET Web Forms Apps的Web。他们目前使用启用模拟的Windows身份验证。网络应用程序在内部托管，但通过不同的域公开公开，例如www.abc.com & www.xyz.org。

一个新的要求是，将为所有这些应用程序的用户提供一个登录页面以便通过登录。

一些提出的解决方案是：

• 实现由Active Directory（DotNetOpenAuth）支持OpenID提供者，修改现有的应用程序变得依赖这个OP的政党。
• 通过MS Forefront威胁管理网关实施SSO。

我没有这些经验。建议的解决方案是否可行？每个的优缺点是什么？还有其他解决方案可能更合适吗？

Answer 1

OpenId Provider是一个相当不错的主意。这将是一条更简单的路线，网络上有一些很好的细节。

您可能还想查看Active Directory联合身份验证服务。

http://msdn.microsoft.com/en-us/library/bb897402.aspx

它是为企业转移到托管解决方案并不少见期待实现联合服务，这是微软的东西时设置并建立Azure的预期 - 是企业的友好。

他们在这里汇总了一份全面的指南，虽然与您的问题没有直接关系，但它确实具有关于联合服务背后技术的大量细节。

http://msdn.microsoft.com/en-us/library/windowsazure/hh127796.aspx

更多的想法和信息，特别是利弊，看看这些文章，其回答的人更深入：

http://technet.microsoft.com/en-us/magazine/ff721824.aspx

http://windowsitpro.com/active-directory/ease-cloud-security-concerns-federated-identity

个http://www.csoonline.com/article/221034/the-truth-about-federated-identity-management

一些DotNetOpenAuth想法：

http://www.codeproject.com/Articles/325228/Choosing-technologies-for-NET-project

http://social.msdn.microsoft.com/Forums/en-US/windowsazuresecurity/thread/7a1c4e0c-346c-4008-9e5c-87ba1273b2aa/

最后，我们亲自去与OpenAuth我的团队解决方案之一。一旦我们花时间真正理解RFC（这不容易，但值得花时间去做），这个实现是相当痛苦的。网络上还有大量资源可用于实施。