WIF BootstrapToken истек

Question

Я занимаюсь разработкой веб-приложения с использованием ASP.NET MVC + WCF, защищенного WIF.Я использую активный STS.У меня проблема с ситуацией, когда срок действия BootstrapToken истек, но SessionSecurityToken все еще действителен из-за скользящего истечения.Я получил исключение:

ID3242: The security token could not be authenticated or authorized.

1. Могу ли я продлить срок действия Bootstraptoken?
2. Это допустимое поведение SAM, что он не проверяет, находится ли Bootstraptoken внутрисрок действия файла cookie истекКак лучше всего это проверить - в том же случае, когда я сдал срок действия сессии?

Answer 1

SAM не включает маркер начальной загрузки в cookie сеанса.Как только SAM проверит его и установит сеанс, токен начальной загрузки фактически удаляется по умолчанию.Итак, чтобы ответить на ваши вопросы:

1. Только поставщик удостоверений, подписавший токен начальной загрузки, может контролировать время жизни токена.SAM не может изменить это.

2. SAM только проверяет время окончания начальной загрузки во время аутентификации.После того, как это сделано, и сеанс установлен, SAM больше не нуждается в маркере начальной загрузки.

Answer 2

Ниже приведена копия моего ответа из этого поста .

Если вы используете службы федерации Active Directory (AD FS) от Microsoft, вы можете увеличить / увеличить время ожидания токена проверяющей стороны AD FS, чтобы продлить срок его службы.

Например, у нас была проблема, когда мы получали новые токены сессий, но у нас все еще были тайм-ауты до тайм-аута AD FS Web SSO. Один из разработчиков обнаружил, что есть параметр для продления срока службы токена проверяющей стороны, который соответствует токену начальной загрузки в Windows Identity Foundation (WIF).

Значение ниже:

Set-ADFSRelyingPartyTrust -TargetName YourTargetName -TokenLifetime 480

После того, как мы установили тайм-аут токена проверяющей стороны таким же, как тайм-аут веб-единого входа, он заработал.

Примечание. Вы можете проверить тайм-аут текущего токена проверяющей стороны с помощью следующей команды:

Get-ADFSRelyingPartyTrust -Name YourTargetName

Примечание II. Время ожидания токена веб-единого входа можно проверить, открыв инструмент управления AD FS, нажав «AD FS» на левой навигационной панели, а затем нажмите «Изменить свойства службы федерации ...» на панели действий в правая панель.