Dostawca tożsamości SAML oparty na Active Directory

Question

Mam program innej firmy, który obsługuje SSO w sieci Web z wykorzystaniem SAML 1.1 (to znaczy, że jest gotów służyć jako usługodawca, czyli innymi słowy).

Chcielibyśmy zaimplementować to logowanie jednokrotne dla naszych użytkowników w intranecie na podstawie ich poświadczeń Active Directory. Innymi słowy, już zalogowali się do swojego systemu, więc po prostu użyj tych poświadczeń, aby ułatwić logowanie jednokrotne. Jednak jestem nieco przytłoczony tym, od czego zacząć.

Moja początkowa myśl polega na tym, że IIS/Active Directory może z łatwością służyć jako dostawca tożsamości, ponieważ usługi IIS dają nam "zintegrowane uwierzytelnianie systemu Windows". Sądzę, że moglibyśmy po prostu stworzyć aplikację internetową .NET wymagającą zintegrowanego uwierzytelniania, która po prostu wydobywa bieżący identyfikator użytkownika, buduje odpowiedź SAML i ponownie kieruje użytkownika do dostawcy usług z tą odpowiedzią SAML, aby ukończyć logowanie jednokrotne.

Ale mój problem polega na tym, że po prostu nie mam pojęcia, jak utworzyć tę odpowiedź SAML, zaangażowane certyfikaty X.509, itd ... Zastanawiam się, czy jestem ponad moją głową w tym lub jeśli utworzenie tej odpowiedzi SAML powinno być stosunkowo łatwe.

Uwaga: to logowanie jednokrotne może być używane tylko przez użytkowników intranetowych, więc nie musisz się martwić o federowanie z innymi firmami/domenami.

Answer 1

Nie zawracałbym sobie głowy budowaniem czegoś zgodnego z SAML. To zajmie Ci kilka tygodni, aby użyć zestawu narzędzi, a twoje wysiłki prawdopodobnie zajmą się tylko jednym przypadkiem użycia. Gdy wprowadzisz coś niestandardowego na miejsce, wkrótce zrozumiesz, że reszta organizacji potrzebuje również pewnego rodzaju integracji SAML (zarówno wewnętrznej, jak i zewnętrznej).

Najszybszy (i IMHO) najłatwiejszy sposób (a wyjdziesz wyglądać jak bohater) jest użycie czegoś takiego jak PingFederate ze strony www.pingidentity.com. Możesz go założyć i uruchomić w niecały dzień, jeśli wiesz, co robisz.

Tylko moje $ 0,02

HTH - Ian

Answer 2

Innym rozwiązaniem, które może chcesz wyglądać w to Active Directory Federation Server Microsoftu (ADFS) 2.0.