Windows Identity Foundation - сторонний защищенный токен-сервер

Question

Я пытаюсь разобраться во всей магии основанного на утверждениях средства идентификации Windows.

Предполагая, что я не хочу использовать ADFS, мне непонятно, является ли лучшим решение использовать собственную службу STS с использованием WIF для выполнения некоторой тяжелой работы или полагаться на третьих лиц.

А если это сторонний вариант - какие есть сторонние STS

Answer 1

Safewhere * Identify - это сторонняя STS, построенная на WIF, но поддерживающая дополнительные протоколы и с более подключаемой архитектурой, чем ADSF2.

Полное раскрытие информации: Я работаю в Safewhere и активно участвую в разработке и разработке продукта.

Answer 2

Вы должны никогда бросить свой собственный STS (если вы можете избежать этого).Создание STS, подходящей для демонстрации для разработчиков, тривиально, но STS корпоративного уровня мирового класса - это немалое начинание.Помимо ADFS и STS Safewhere (о которых упоминал Марк), следующие продукты включают STS (или говорят, что они поддерживают WS-Trust, что подразумевает это):

• Novell Access Manager
• PingИдентификационные данные PingFederate
• Объединенный набор удостоверений Symlabs
• OpenSSO
• Vordel
• Шибалет
• Redhat JBoss Identity (alpha)
• Oracle Identity Federation (мне неясно, поддерживает ли этот продукт WS-Trust, но я был бы удивлен, если бы это не так.)

Кроме того, инфраструктура Java Metro похожа на WCF+ WIF.В нем есть все необходимое для создания STS, чего не следует делать;однако, если вы оцените эти продукты и обнаружите, что они не удовлетворят ваши потребности, вы можете выбрать только свой вариант.

Answer 3

Все зависит от того, где находится ваша информация для аутентификации. Если вы не используете AD, но используете что-то другое, то поставщик должен предоставить STS.

Если все, что вам нужно, это что-то управляемое базой данных, то есть несколько таких, и это зависит от того, с какой платформой разработки вы больше всего довольны, когда придете к ее настройке.

Если вы используете .NET, вы можете использовать StarterSTS в качестве отправной точки (без каламбура).

Answer 4

Travis,

Многие из перечисленных вами продуктов мне знакомы из пространства IdM. Особенно Novell и Oracle ... но большинство из них - либо целый стек, либо части пакета. И все они потребуют хранилище идентификационных данных и услуги аутентификации, верно?

Например, чтобы использовать Novell, Oracle или Ping, вам все равно потребуется реализовать каталог или какое-либо другое хранилище пользователей, каким-либо образом аутентифицировать пользователей (например, IWA или страницу входа с использованием службы, предоставляемой продуктом), а затем включить этого пользователя в RP на основе WIF, верно?

Как бы вы предложили сравнить эти предложения с самостоятельной реализацией ADFS?

Причина, по которой я спрашиваю ...

Мы уже создали базовую платформу и набор продуктов на основе утверждений, используя WIF для использования этих утверждений. Сейчас мы смотрим на развертывание ADFS как STS и хотим сначала сделать шаг назад и подумать, есть ли способ ускорить развертывание реального продукта. До сих пор мы использовали starterSTS ...

Нам необходимо поддерживать несколько вариантов аутентификации: 1) IWA в RP с использованием нашей внутренней AD для пользователей нашего предприятия 2) предоставить пользователям нашего клиента возможность войти в систему, используя пользователей, которыми мы владеем, и контролировать их как своих IDP (при условии, что новый каталог для них, отдельный от нашей внутренней AD), и 3) внешние IDP, где наши клиенты аутентифицируют пользователей и входят в нас.

Вариант 2 - это то, для чего нам нужна некоторая служба аутентификации ... поэтому, поскольку мы не можем обойтись без 100% федеративного единого входа с внешними IDP, любой сторонний вариант должен включать службы аутентификации.

Я кратко посмотрел на сайт safewhere и не увидел полезных подробностей об альтернативе STS, работающей с WIF. Я вижу некоторые продукты федерации и продукт WAM ... что именно они предлагают в качестве STS?

Спасибо за любой вклад, который у вас может быть.