在 AD 中处理帐户的正确方法是为不同的应用程序提供 SSO

Question

如果您有 4 个应用程序要使用 ADFS 的 OpenID Connect 令牌保护它们，那么 SSO 将如何工作？

这 4 个应用程序没有用户注册，但是它们需要来自 IdP (ADFS) 的不同声明。您是否需要为每个用户创建 4 个不同的用户帐户才能登录所有 4 个应用程序？

如果每个用户需要 4 个不同的用户帐户，那么用户是否需要先从 app_1 注销，然后再登录 app_2？

感谢您的各种建议。

Answer 1

假设每个应用程序在 OIDC 模式下从 ADFS 接收一个 ID 令牌，那么作为该 ID 令牌一部分的每个应用程序都可以访问主题/用户 ID，并且可以将该 ID 令牌交换为用户配置文件。作为 OIDC OP 运行的 ADFS 需要配置为为每个应用程序发布正确的声明，当然每个应用程序都应该在初始身份验证时请求适当的所需范围，以便 ADFS 可以授予所需的声明。

每个应用程序都会收到一个 ID 令牌，并开始建立与该用户相关的自己的会话。由于应用程序会话独立于 SSO 会话，因此如果您需要实现单点注销，则需要协调一致的工作。