WIF 基本原理 (4)：聯合身分驗證實作案例與流程解析

聯合身分驗證讓合作夥伴員工透過單一登入 (SSO) 存取其他網域資源。三大角色：身分提供者 (IP)、宣告提供者 (CP/STS)、信賴方 (RP)。WIF 提供 API 建構三者。

案例情境

Fabrikam 員工 Frank 想免重新登入存取 Contoso 資源 (Web 應用 web1)。Contoso 部署 sts1 (CP) 與 Fabrikam 信任；Fabrikam 部署 sts2 (IP) 與 Contoso 信任（圖 15-11）。

圖 15-11 聯合身分驗證架構

實作六步驟

1. 設定 CP (sts1)：安裝 ADFS 2.0 或雲端 STS，或用 WIF 自建。
2. 安裝 WIF 並列舉宣告：RP 程式碼驗證預期宣告類型後處理（代碼清單 15-3）。
3. 建立 RP 到 CP 信任：用 FedUtil 產生中繼資料、更新 web.config。
4. CP 設定 RP 信任：參考 ADFS 文件完成。
5. Fabrikam 設定 IP (sts2)：同樣可用 ADFS/雲端/自建，並與 Contoso CP 建立信任。
6. Frank 存取 Web 應用：登入 Fabrikam 後瀏覽 Contoso RP，自動重導至 IP 驗證、取得權杖、轉回 RP，免再次登入。

此流程展示跨網域信任鏈如何實現 SSO，實際部署仍需考慮憑證、端點、宣告對應等細節。

作者：玄魂
出處：https://www.cnblogs.com/xuanhun/ (改編自《.NET 安全揭秘》)