当我正在开发 WCF Web 服务以在用户的登录操作与其活动目录角色和权限之间建立中介时。我不希望我的主机应用程序直接与 AD FS 对话。我希望任何主机应用程序都可以使用我的网络服务，它会根据给定的凭据提供必要的信息。
在我的网络方法中，我需要通过用户的登录凭据从 AD FS (WIF) 获取声明。
我的网络方法将有两个输入参数，窗口用户的电子邮件 ID/Windows 帐户名和密码。
所以，我想通过给定用户的凭据在我的网络方法中访问 AD FS 声明。
如何通过给定用户的凭据获得 AD FS 声明？
【问题讨论】：
标签： c# .net wcf web-services adfs2.0
您应该对使用集成 Windows 身份验证的 AD FS 2.0 的 https://.../adfs/services/trust/13/usernamemixed 端点执行 Web 服务调用，提供用户凭据以便连接可以设置。在此端点上，调用http://docs.oasis-open.org/ws-sx/ws-trust/200512/RST/Issue 操作。 （更多详细信息在section 4.1 of the WS-Trust 1.3 specification 中。）此操作的输入是RequestSecurityToken 请求。响应包含一个 SAML 令牌，其中包含您需要的声明。
请注意，AD FS 2.0 WSDL 在 https://.../adfs/services/trust/mex 上可用：如果您将 Visual Studio Add Service Reference 向导或 Java wsimport 指向该 URL然后您将轻松生成可用于执行 RST 问题操作的客户端代码。
【讨论】：
您可以从 ADFS 请求 DisplayTokem 并使用它，它与您在令牌中的信息基本相同。
public DisplayClaimCollection GetDisplayClaims(string username, string password)
{
WSTrustChannelFactory factory = null;
try
{
// use a UserName Trust Binding for username authentication
factory = new WSTrustChannelFactory(
new UserNameWSTrustBinding(SecurityMode.TransportWithMessageCredential),
"https://.../adfs/services/trust/13/usernamemixed");
factory.TrustVersion = TrustVersion.WSTrust13;
factory.Credentials.UserName.UserName = username;
factory.Credentials.UserName.Password = password;
var rst = new RequestSecurityToken
{
RequestType = RequestTypes.Issue,
AppliesTo = "Relying party endpoint address",
KeyType = KeyTypes.Symmetric,
RequestDisplayToken = true
};
IWSTrustChannelContract channel = factory.CreateChannel();
RequestSecurityTokenResponse rstr;
SecurityToken token = channel.Issue(rst, out rstr);
return rstr.RequestedDisplayToken.DisplayClaims;
}
finally
{
if (factory != null)
{
try
{
factory.Close();
}
catch (CommunicationObjectFaultedException)
{
factory.Abort();
}
}
}
}
但这不是正确的做法！ 您应该使用您的 RelyingParty 证书来解密加密的令牌并从中读取声明。
【讨论】：