如何在单个 WCF<服务>中混合 WIF 和非 WIF 端点？

Question

基于 WIF 的 WCF 服务需要调用方法 FederatedServiceCredentials.ConfigureServiceHost()，或放置等效的 中的元素>web.config 文件，即可工作。这是服务级别的设置，换句话说，它适用于所有端点。

根据方法文档，ServiceHostBase 实例以几种特定于 WIF 的方式进行修改。例如，将授权替换为基于WIF的授权类。

现在我想要一个带有多个 < 的 （在 内） /code>s，其中一个端点基于 WIF，其他端点使用普通 Windows 身份验证。

更新。响应下面的答案，让我解释一下为什么我们要混合使用 WIF 和非 WIF 端点。如果我们只使用 WIF，那么我们的每个客户都需要一个 STS，例如 AD FS。设置这一点并不困难，但这是一个障碍，特别是如果他们只是想测试驱动我们的软件。因此，我们所做的就是以使用 Windows 集成身份验证的模式进行安装（对于我们的 Web 服务，以及我们的前端），然后他们可以切换到使用 AD FS 的模式。

所以基本上我们希望能够在没有 AD FS 的情况下进行安装，以降低应用程序的进入门槛。

为此， 需要 。然而——这是我的问题——这也会影响同一服务的非 WIF 端点：例如，它们突然使用 WIF 授权管理器（类 ClaimsAuthorizationManager）。

所以我的问题是：在单个 WCF 中混合 WIF 和非 WIF 端点的推荐方法是什么？

Answer 1

我认为你不能。但在您的情况下，您应该只让一个 WIF 端点将多凭据支持留给 STS。

您可以在 STS 上放置多个端点来处理不同类型的身份验证。例如，一种用于 Windows，一种用于用户名/密码。

我去年举办的代码训练营课程就证明了这一点。来源附在我的博客文章 http://www.neovolve.com/post/2010/11/21/CodeCampOz-Not-a-WIF-of-federation.aspx。查看 NotAWif Demo\4 - Identity delegate\NotAWif.DelegationSTS 中的 web.config。

<system.serviceModel>
  <services>
    <service behaviorConfiguration="ServiceBehavior"
                    name="Microsoft.IdentityModel.Protocols.WSTrust.WSTrustServiceContract">

      <endpoint address="UserName/IWSTrust13"
                        binding="ws2007HttpBinding"
                        bindingConfiguration="ws2007HttpBindingUserNameConfiguration"
                        contract="Microsoft.IdentityModel.Protocols.WSTrust.IWSTrust13SyncContract" />

      <endpoint address="Windows/IWSTrust13"
                binding="ws2007HttpBinding"
                bindingConfiguration="ws2007HttpBindingWindowsConfiguration"
                contract="Microsoft.IdentityModel.Protocols.WSTrust.IWSTrust13SyncContract" />

      <endpoint address="mex"
                        binding="mexHttpsBinding"
                        contract="IMetadataExchange" />
      <host>
        <baseAddresses>
          <add baseAddress="https://localhost/NotAWif.DelegationSTS/Service.svc" />
        </baseAddresses>
      </host>
    </service>
  </services>
  <bindings>
    <ws2007HttpBinding>
      <binding name="ws2007HttpBindingUserNameConfiguration">
        <security mode="TransportWithMessageCredential">
          <transport clientCredentialType="None">
            <extendedProtectionPolicy policyEnforcement="Never" />
          </transport>
          <message clientCredentialType="UserName"
                                establishSecurityContext="false" />
        </security>
      </binding>
      <binding name="ws2007HttpBindingWindowsConfiguration">
        <security mode="TransportWithMessageCredential">
          <transport clientCredentialType="None">
            <extendedProtectionPolicy policyEnforcement="Never" />
          </transport>
          <message clientCredentialType="Windows"
                                establishSecurityContext="false" />
        </security>
      </binding>
    </ws2007HttpBinding>
  </bindings>
  <behaviors>
    <serviceBehaviors>
      <behavior name="ServiceBehavior">
        <serviceMetadata httpGetEnabled="true" />
        <serviceDebug includeExceptionDetailInFaults="false" />
        <serviceCredentials>
          <serviceCertificate findValue="DefaultApplicationCertificate"
                                          x509FindType="FindBySubjectName" />
        </serviceCredentials>
      </behavior>
    </serviceBehaviors>
  </behaviors>
</system.serviceModel>

这就是我如何配置 STS 以支持多种类型的身份验证。 RP 应该只处理声明，而不是声明|WindowsIdentity。 STS 负责将特定类型的身份验证转换为 RP 将使用的一组声明。

Answer 2

您可能会将 WIF 的使用与 STS 的使用混淆。他们没有关系。

WS2007FederationHttpBinding 将导致 WCF 端点期望颁发令牌（来自 STS）。
WS2007HttpBinding 或 NetTcpBinding 可能需要 Windows 令牌。

您可以使用 WIF 来处理这两种情况，事实上，正是有了 WIF，您才能拥有更有效地支持两种不同令牌格式的服务行为。

已颁发的令牌端点将依赖于 WIF 配置中 saml11/saml2 安全令牌处理程序的配置来处理令牌，并依赖于受信任的颁发者部分来建立对该令牌的信任。
Windows 端点将依赖 Windows 安全令牌处理程序之一来处理 Windows 令牌。

两者都将通过 WIF 服务授权管理器进行传输，但会为 Windows 或您颁发的令牌提供声明。您可以使用claimsAUthenticationManager 在到达claimsauthorizationmanager 来授权访问之前转换这些声明。

有很多方法可以给这只猫剥皮，但这绝对是可能的。