thinktecture 身份服务器 v2 中带有 ADFS 的 ACTAS答案

【问题标题】：ACTAS with ADFS in thinktecture identity server v2thinktecture 身份服务器 v2 中带有 ADFS 的 ACTAS
【发布时间】：2015-01-03 06:19:15
【问题描述】：

我必须使用 STS (Thinktecture V2 STS) 对网络用户进行身份验证。

以下是我的申请：

1 asp.net Web 应用程序 (RP) - 充当前端 2. 后端 Web API (RP) - 根据声明提供数据（比如说 c1、c2） 3 STS（Thinktecture 身份服务器 v2）

Web 应用程序有两种类型的用户：

1 普通网络用户 (Bob) - 用户输入用户名和密码。 STS 通过实现 IUserRepository 对我们自己的数据库进行身份验证。还实现了 IClaimrepository 以添加声明 c1 和 c2 以及根据用户名从我们自己的数据库中检索的值。然后使用从 STS 收到的令牌来访问 web api。

公司内部用户 (Allen)：这些用户提供 Active Directory 凭据以进行身份验证。如果他们是有效用户，他们应该拥有名为 Group 的声明。他们在活动目录中所属的组。那么这些用户应该能够代表 Bob（普通网络用户）访问相同的后端网络 API 方法。这意味着 STS 应该提供一个令牌，该令牌具有 Bob 的 c1 和 c2 声明。

验证普通网络用户的部分已完成。但不知道如何为“内部公司用户”实施身份验证。我知道的唯一部分是要验证“内部用户”，我必须使用 ADFS，但在那之后该怎么办？

请帮忙。

【问题讨论】：

标签： asp.net authentication thinktecture-ident-server

【解决方案1】：

您通常为此使用 ADFS -

1) 安装 ADFS 并启动并运行

2) 将 ADFS 添加为 IdSrv 中的身份提供者（并将 IdSrv 添加为 ADFS 中的依赖方）

3) 在 IdSrv 中使用 issue/hrd 端点而不是标准的 wsfed 端点

【讨论】：

感谢您的回复。但是，当 ADFS 发出一个令牌时，IDSRV 会收到该令牌。如何让 Allen（公司内部用户）以 Bob（普通网络用户）的身份访问后端网络 API？
好吧 - 如果只是关于 Allen 应该在其令牌中拥有的声明 - 您可以使用身份服务器扩展点完全控制声明。检查维基。