如何从外部托管网站验证使用 AD？答案

【问题标题】：How can you authenticate to using AD from an externally hosted website?如何从外部托管网站验证使用 AD？
【发布时间】：2011-10-21 20:23:55
【问题描述】：

这是我想要完成的：我有一个基于 CMS 的网站，可以通过 LDAP 进行身份验证。我希望用户能够使用他们的 AD 用户名和密码对网站进行身份验证。

基本上，我想了解是否有一种好方法可以通过 LDAP 连接使 Active Directory 在外部可用。这种事情有哪些选择？

在线研究我发现了一些建议，可以在我们的 DMZ 上设置 AD LDS 并使用我们的内部域控制器进行复制。好像这样可以，但是我对AD LDS的了解不是很深，所以我不确定。

有没有一些标准的方法来做到这一点？还是通常认为最好的做法是只设置一个单独的用户数据库供外部使用？

【问题讨论】：

【解决方案1】：

如果您的 AD 域中已经拥有所有“外部托管网站”用户，您应该能够针对任何 DC 进行 LDAP 身份验证。

如果您不希望域中的“外部托管网站”用户，请设置 LDS 实例。（但我不会把它放在 DMZ 中。只需打开一条通过防火墙到 LDS 实例的 636 端口的点对点路径。）

-吉姆

【讨论】：

是的，我们的 AD 域中有所有用户。我们可以从我们在此处托管的网站对 DC 进行 LDAP 身份验证。然而，我们现在开始在我们的网络之外托管网站，所以我的问题是从互联网上的网站与我们的域控制器建立 LDAP 连接的最佳方式是什么？
您可以通过 WEB 主机对您的 DC 执行 LDAP（基于 SSL 的 LDAP）或使用 SAML，这将是我的偏好。