为“新”用户提供多个受信任的 STS

Question

在使用具有多个安全令牌服务 (STS) 的 Windows Identity Foundation (WIF) 时，是否可以在用户首次访问应用程序之前对其进行配置？

例如，假设我有一个名为 BufferOverrun 的网站，用户可以在其中登录并提出/回答问题，并且我想支持使用外部 Google 帐户进行身份验证。当用户第一次访问该页面时，他们必须使用他们的 Google 帐户进行身份验证，然后他们才能访问 Web 应用程序。在这种情况下，有两个 STS，Google（用于身份验证）和一个自定义的用于我的应用程序（用于授权）。

如何在用户访问系统之前将声明分配给用户？

由于身份在我的应用程序外部拥有，因此我无法将声明直接分配给该身份（而且我也不想这样做，因为它们是特定于应用程序的）。但是由于用户没有访问系统，我没有内部身份来分配声明。我看到了两种可能的解决方案：

1. 等待用户访问系统（创建一些默认的特定于应用程序的声明），然后使用一些内部配置工具根据需要修改这些声明。
2. 让配置工具允许用户在通过手动输入身份进行身份验证之前手动映射默认身份声明（例如电子邮件地址），以便在首次访问时，如果身份声明该声明，一组特定的应用程序索赔被批准。

我发现 1 和 2 都有一些问题。对于 1，所有用户都可以隐式访问系统，即使默认应用程序声明不允许任何功能。这似乎对于像 stackoverflow 这样的初始帐户具有特定权限集的东西非常有效，并且当用户使用系统时，会授予新的声明。然而，这可能不是所有应用程序都希望的。 2 容易出错，因为它需要管理员手动指定声明。

在上述两种情况下，我如何配置有权实际使用配置工具的身份（即管理员帐户）？

为此，我设想在应用程序安装期间，我要求用户进行身份验证并将该身份的应用程序声明设置为具有“管理”权限。这是一个好的实现吗？

从历史上看（我现在指的是现有应用程序），该应用程序专门与 Active Directory 交互。处理这种情况的方式是有一个内置的管理员帐户（不隶属于 AD），允许管理员用户首先登录。在使用管理应用程序进行身份验证后，该用户可以在 AD 中搜索用户/组并单独配置它们。管理员未配置的任何用户/组根本无法访问系统。我不认为这种范式适用于使用像 Google 等外部 STS，所以我试图构想一种能够启用外部 STS 系统的架构。希望保留搜索 STS 的能力，但不是必需的。实际上，所涉及的两个 STS 很可能都是使用联合服务的 Active Directory。

注意：这类似于this question 和this question。

Answer 1

在使用具有多个安全令牌服务 (STS) 的 Windows Identity Foundation (WIF) 时，是否可以在用户首次访问应用程序之前对其进行配置？

答案是肯定的，如果您有办法识别这些用户（例如他们的电子邮件）

在这种情况下，有两个 STS，Google（用于身份验证）和一个自定义的用于我的应用程序（用于授权）。

这是经常使用的，但不一定总是如此。如果您只依赖 Google，那么您可以简单地在应用程序本身中拥有授权代码（例如“AuthorizationManager”类等）。另一个 STS 的价值在于它可以成为多个身份（例如 Google、LiveID、Yahoo! 等）的代理并且您可以进行一些与授权相关的转换。

由于身份在我的应用程序外部拥有，我不能直接将声明分配给该身份（我也不想这样做，因为它们是特定于应用程序的）。

为什么不呢？您可以定义一条规则：

“通过 Google 验证的任何人都是 App BufferOverrun 中的‘读者’”。你甚至可以说：

“someone@gmail.com 是 BufferOverrun 上的‘读者’”，在有人访问该应用之前。

您仍然可以使用原始方法（用于设置的带外管理员帐户）。或者，您也可以在配置期间“引导”配置，定义哪些声明将识别管理员用户。

查看http://claimsid.codeplex.com 中的示例“与多个合作伙伴和 ACS 联合”（示例 7） 我们正是这样做的。