真的有人在使用 Active Directory 联合身份验证服务吗？这是一项值得投资的技术吗？

Question

更一般地说，谁在 Windows 平台上成功使用了 WIF/ADFS/SSO，它是否值得实施，以及它将成为持久技术的可能性有多大？

从表面上看，通过阅读一些白皮书 (PDF), 文章和书籍 ，这似乎是一个完美的解决方案 - 特别是对于拥有内部网站的公司来说，该网站也向外部用户和合作伙伴（或计划在未来）公开一定程度的功能。但这听起来几乎太完美。我掌握的大部分信息都来自微软本身。

我想我的具体问题是：

• 这是一项持久的技术并且值得投资（特别是对于规模较小（<50 人）的公司）？
• 有没有大公司正在积极使用它？
• 如果我们希望其他人为他们的公司提供作为可信发行人的身份验证，那么合作伙伴愿意设置 STS 的可能性有多大？这里会有很多阻力吗？
• 这最终会成为一场配置噩梦吗？
• 在决定是否实施这一点时，是否还有其他需要注意的陷阱？

Answer 1

随着越来越多的应用程序迁移到云和在线服务，您将看到 ADFS 和其他联合身份技术的使用量增加。由于拥有成本较低，投资 Active Directory 的组织可能会转向此解决方案。

这是一项持久的技术并且值得投资（特别是对于规模较小（<50 人）的公司）？

• 如果您计划向其他公司提供托管服务或计划自己利用这些服务，ADFS 可以提供一种相当轻松的方式来利用您当前的安全基础设施。
• 如果实施得当，用其他产品替换联邦产品应该相当简单。

有没有大公司正在积极使用它？

• 我只熟悉我工作过的一个政府组织，但我确信还有其他组织。联合身份的性质使得很难从外部识别谁。

如果我们希望其他人为他们的公司提供作为可信发行人的身份验证，那么合作伙伴愿意设置 STS 的可能性有多大？这里会有很多阻力吗？
这最终会成为一场配置噩梦吗？

• 配置是ADFS最困难的部分。但是，一旦建立了信任关系并创建了策略，配置就不再需要担心了。
• 其他公司要么拥有支持 ADFS 的基础设施，要么没有。即使 .NET 应用程序也需要更改配置才能支持 ADFS，并且更有可能需要更改代码才能完全支持联合身份模型。如果您的合作伙伴做到了这一点，他们很可能会很乐意信任您的 STS。
• 询问您的合作伙伴已有哪些基础设施，他们今天可能已经拥有或正在规划基础设施。

在决定是否实施这一点时，是否还有其他需要注意的陷阱？

• 我遇到的最困难的问题是改变应用程序开发人员的做法。
• 应用程序要么需要围绕联邦进行设计，要么需要用它进行改造。
• 如果不注销所有 ADFS 应用程序，则无法注销 ADFS 应用程序。
• 当联合会话过期时，您必须将用户发送回联合服务以获取新票证。如果处理不当，可能会导致发布数据丢失。

Answer 2

根据我的经验：

与 WIF 结合，ADFS 提供：

• 针对 ASP.NET 应用程序的标准“外包”身份验证/授权。一旦应用程序具有声明感知能力，您就可以在 ADFS/ACS 端进行更改，并且应用程序不会更改。

• 提供具有非 .NET 解决方案的联合设施，例如 OpenSSO 和 Tivoli。

• 允许（通过 ACS）使用现有登录名，例如 Facebook / Google。

• 为应用程序迁移到云 (Azure) 提供了潜力。

• Sharepoint 2010 的标准声明感知功能。

我见过的实现主要针对试图实施某种整体 I&AM 的大型公司。当公司同时拥有 .Net 和 Java 应用程序时，它尤其有用。

同样在新西兰，我们有一个 igovt 登录名，它为所有政府部门提供一个登录名，这可能是“使用现有登录名”的候选者，而不是创建公司特定的登录名。 igovt 可以与 ADFS 联合。

根据我的经验，主要的缺陷是它不适用于经典 ASP。它必须是 ASP.NET。

回答您的其他问题：

• 希望允许外部访问其应用程序的大型公司宁愿实施 STS，也不愿在其身份存储库中配置外部用户。

• 配置并不简单，但肯定不会成为一场噩梦。