SharePoint 2010 - два веб-приложения - единый вход -> мне нужна авторизация на основе утверждений?

Question

Мы планируем создать два веб-приложения sharepoint, используя SharePoint 2010 Enterprise Edition.Все пользователи, которые имеют доступ к веб-приложению 1, также должны иметь доступ к веб-приложению 2. Эта аутентификация должна осуществляться с помощью активного каталога сервера 2003.

-> мне нужно использовать аутентификацию на основе утверждений?Если это так -> можно ли использовать для этого проверку подлинности на основе Windows с NTLM?

Единственное, что мне действительно нужно, - это чтобы пользователям, переходящим из веб-приложения 1 в веб-приложение 2 (и наоборот), не приходилось проходить проверку подлинности.дважды.

Я НЕ хочу настраивать Kerberos, если в этом нет особой необходимости ...

Можете ли вы дать мне какие-нибудь советы?Спасибо!

РЕДАКТИРОВАТЬ:

хорошо - я попытаюсь быть более точным:

В нашей среде SharePoint 2010 у нас есть двавеб-приложения, работающие

http (s): //humanresources.domain.com http (s): //sales.domain.com Оба работают на одном и том же IIS и имеют настроенные заголовки узлов (с подстановочным сертификатом домена)для HTTPS).

Оба приложения предоставляют ссылку на другое веб-приложение (продажи -> человеческие ресурсы и человеческие ресурсы -> продажи)

Теперь, когда кто-то входит в систему продаж, переходит к огромным ресурсам, я делаюне хочу, чтобы этому человеку снова нужно было войти.Поэтому я подумал, что мне понадобится аутентификация на основе утверждений ??? ...

Пожалуйста, просветите мой мозг!: D

РЕДАКТИРОВАТЬ 2:

Спасибо за ваши ответы!

@ Panagiotis Kanavos - да, у нас есть пользователи, которые обращаются к сайту извне нашей среды: 1) Пользователи, получившие AD и работающие на своих ноутбуках за пределами нашего здания (например: они целый день работали с клиентом и работают дома в течение оставшихся часов) 2) Мы планируем иметь пользователей без ADAccound -> Аутентификация на основе форм: (например: клиенты, получающие доступ к нашим проектам TFS 2010 для получения обзора проекта).Насколько я знаю, если вам нужны FBA и WIN-Auth, вам нужно настроить аутентификацию на основе утверждений ...

Однако настройка веб-приложения с использованием аутентификации на основе утверждений не сработала.Я выбрал «Включить аутентификацию Windows» вместе с «Интегрированной аутентификацией Windows -> NTLM», так как у нас не настроен Kerberos (и я бы хотел оставить его таким; -)).

Однако пользователи могутиногда не входите в это приложение, и через пять минут оно заработало.Кроме того, когда я добавил разрешения пользователю AD, SharePoint, казалось, сохранял токен вместо идентификатора группы / учетной записи: например: вместо MyDomain \ user1 он сохранял что-то вроде «0 | = MyDomain \ user1», а для групп - дажетолько сохраненные строки странных символов "022-12.3"

Может ли быть так, что мой Windows 2003 AD не поддерживает это?

Answer 1

Если вы используете Active Directory и запускаете оба сайта в своем домене, вам не следует оспаривать, когда пользователи переходят на любой из этих сайтов.Просто становится проблемой реализации того, у кого есть доступ к чему-либо через группы AD или группы SharePoint.

Аутентификация на основе утверждений - это немного другое животное.Вам необходимо иметь токен безопасности, который содержит ряд «утверждений» о пользователе, например, UserA является членом HR, а UserB является членом Sales.На основании этих утверждений вы можете получить ответ от своего сайта / приложения.Аутентификация на основе утверждений является относительно новой для SharePoint и Microsoft и немного более крутой кривой обучения.Это может иметь больше смысла, если у вас смешанная среда, в которой пользователи AD и Forms Based получают доступ.Однако в описанной вами гетерогенной среде это не кажется необходимым.

Более подробная информация об аутентификации SharePoint 2010 доступна здесь .

Джон

Answer 2

Самым простым решением является создание группы AD с пользователями обоих сайтов и добавление этой группы в качестве пользователя в группу Участники Sharepoint каждого сайта.Таким образом, пользователям вообще не нужно будет входить в систему, поскольку Sharepoint автоматически определяет личность вошедшего в систему пользователя.Почему вы спрашиваете о логине, претензиях и почему вы используете сертификаты?В сценарии интрасети, где ферма и пользователи находятся в одном домене, или если домен фермы доверяет домену пользователя, это не требуется.У вас есть пользователи, которые обращаются к сайту за пределами вашего домена?