Web 服务和 STS (SecurityTokenService) 之间的信任是如何建立的？

Question

我正在研究代理身份验证、联合等。在所有博客上，都提到 Security Token Service 和其他 Web 服务之间存在“信任”。但是，我找不到解释如何建立这种信任的博客。

问题：

1. 是什么让其他 Web 服务信任 STS？即我们如何在 STS 和其他网络服务之间建立信任？
2. 其他 Web 服务如何验证安全令牌是由他们信任的 STS 颁发的，而不是由其他一些 STS 颁发的？

我知道不同的技术会以不同的方式来做这件事。如果有人解释它在 .NET 世界中是如何发生的（使用 WCF、Windows Identity Foundation 等），那就太好了。

Answer 1

使用 X509 证书完成。

SecurityTokenService (STS) 使用其他服务也信任的证书“签署 SAML 令牌”。所以信任是使用通用的东西建立的，即证书，STS 和其他服务也信任！

在调用其他 Web 服务时，STS 发出的 SAML 令牌通过 SOAP 标头发送。如果 SAML 令牌由您的其他服务信任的证书签名，那么您的服务会理解该令牌是由“受信任的”STS 颁发的。

在Windows Identity Foundation，您可以configure the signing certificate 进行 STS。 如果是其他网络服务，则信任certificate can be configured in the Service Host using ServiceCredential class。