सक्रिय निर्देशिका

Question

के साथ एकीकृत .NET अनुप्रयोग के लिए एकल साइन ऑन हमारे पास हमारे वेब एप्लिकेशन (इंट्रानेट नहीं) का उपयोग करके कई ग्राहक हैं, कुछ ग्राहक चाहते हैं कि उनके लॉगिन को उनके संगठन सक्रिय निर्देशिका के साथ एकीकृत किया जाना चाहिए। वे सिर्फ यह चाहते हैं कि उपयोगकर्ता को अपने विंडोज खाते में लॉगिन करना चाहिए और बिना किसी उपयोगकर्ता प्रमाण-पत्र दर्ज किए वेब एप्लिकेशन तक पहुंच सकते हैं।

मैंने एडीएफएस के संबंध में कुछ लेख पढ़े हैं, लेकिन फिर भी यह सुनिश्चित नहीं है कि इसे कैसे एकीकृत किया जाए या इसे कार्यान्वित किया जाए। कोई प्रस्तावित समाधान?

धन्यवाद!

Answer 1

टिप्पणियों के अनुसार अधिक जानकारी की आवश्यकता है।

यहां एक अच्छा स्रोत है: AD FS 2.0 Content Map।

"ई-बुक" here है।

मैं एक परिदृश्य की कल्पना कर सकता हूं जहां आप अपने क्लाउड एप्लिकेशन को एज़ूर एसीएस में बांधते हैं, आपके ग्राहक एडीएफएस को अपने एडी के शीर्ष पर स्थापित करते हैं और एसीएस के साथ अपने एडीएफएस को फेरेट करते हैं। इससे आपको आवश्यक कार्यक्षमता मिल जाएगी।

अद्यतन टिप्पणी के बाद:

ADFS केवल ई के खिलाफ प्रमाणित कर सकते हैं। यह एक डीबी के खिलाफ प्रमाणित नहीं कर सकता है। यह एक SQL सर्वर डीबी से गुण प्राप्त कर सकता है जिसे उसके बाद दावों में बदल सकता है यानी यह प्राधिकरण के लिए SQL DB का उपयोग कर सकता है।

यदि आप एक एसक्यूएल डीबी के खिलाफ प्रमाणित करना चाहते हैं, तो आप दो विकल्प कर सकते हैं।

1. एक कस्टम बनाने के लिए अनुसूचित जनजातियों
2. Identity Server जो इस कार्यक्षमता की अनुमति देता है की तरह का प्रयोग करें एक मौजूदा "कस्टम" एसटीएस।

Answer 2

आपका प्रश्न स्पष्ट रूप से यह नहीं बताता है कि आप एसएसओ को लागू करने के लिए एडीएफएस का उपयोग करने के लिए सीमित हैं या नहीं। एडीएफएस निश्चित रूप से ऐसा करने का एक तरीका है। आप ओपनआईडी-एलडीएपी _{^{(www.openid-ldap.org पर थे, लेकिन परियोजना अब निष्क्रिय है)}} और अन्य identity providers एसएसओ को लागू करने के विकल्प के रूप में देखना चाह सकते हैं।

एक विकल्प एक ओपनआईडी प्रदाता को कार्यान्वित करना है जो एकीकृत विंडोज प्रमाणीकरण का उपयोग करता है। वे इसे अपने डीएमजेड में एडीएफएस की जगह इंटरनेट पर उजागर कर सकते हैं। यह इंटरनेट एक्सप्लोरर और क्रोम से एकल साइन ऑन करने की अनुमति दे सकता है।

ओपनआईडी प्रदाता को कार्यान्वित करना एक मामूली मामला है। आपको सुरक्षा पर ध्यान देना होगा। सौभाग्य से, DotNetOpenAuth जैसी कई ढांचे हैं जो आपकी मदद कर सकती हैं।

ओपनआईडी का उपयोग करते समय, आपका "क्लाउड" एप्लिकेशन ओपनआईडी भरोसेमंद के रूप में कार्य करेगा और ओपनआईडी प्रदाता से अन्य विशेषताओं के बीच दावा किया गया पहचानकर्ता प्राप्त करेगा। उपयोगकर्ता को विशिष्ट रूप से पहचानने के लिए आपको इसे अपने डेटाबेस में संग्रहीत करना चाहिए। आप ओपनआईडी प्रदाता को कार्यान्वित करना चुन सकते हैं जैसे कि यह आपके क्लाउड एप्लिकेशन को ईमेल पता, व्यक्ति का नाम इत्यादि जैसी न्यूनतम जानकारी प्रदान कर सकता है

ओपनआईडी का उपयोग करने का लाभ यह है कि आपका "क्लाउड" एप्लिकेशन समर्थन जारी रख सकता है Google और Yahoo जैसे अन्य प्रसिद्ध ओपनआईडी प्रदाताओं को बिना किसी बदलाव के।

अंत में आपको अपने ग्राहकों से पूछना होगा कि वे किस तकनीक के साथ सहज हैं। आप पाएंगे कि संगठनों के बीच ट्रस्ट की कमी (व्यापार विशेषता) तकनीक की बजाय चुनौती से अधिक नहीं है।

Answer 3

यदि आप .NET आधारित अनुप्रयोग विकसित करते हैं, तो माइक्रोसॉफ्ट WIF नामक एक लाइब्रेरी प्रदान करता है, जिसका उपयोग एडी एफएस के साथ एक सुविधाजनक तरीके से संवाद करने के लिए किया जाता है (कॉन्फ़िगरेशन + प्रदान किए गए प्रमाणीकरण संदेश से दावों को प्राप्त करने के लिए छोटे कोड अनुकूलन एडी एफएस द्वारा)।

कुछ प्रोटोकॉल हैं जो एसएसओ काम करने के लिए एडी एफएस 2.0 और डब्ल्यूआईएफ समर्थन दोनों हैं, सबसे आम हैं (afaik) SAML 2.0 और डब्ल्यूएस-फेडरेशन। दोनों एक्सएमएल संदेशों पर बनाए गए हैं, लेकिन यदि आप WIF का उपयोग करते हैं, तो आपको विवरण जानने की आवश्यकता नहीं है।

डब्ल्यूएस - फेडरेशन के लिए, डब्ल्यूआईएफ लाइब्रेरी विजुअल स्टूडियो के लिए एक प्लगइन प्रदान करती है, जो आपको अपनी साइट को एफडी के साथ निर्भर पार्टी के रूप में कॉन्फ़िगर करने की अनुमति देती है।

आप उपयोगकर्ताओं की पहचान करने के लिए अपने डीबी के भीतर प्रमाण-पत्रों का उपयोग कर सकते हैं, आप वास्तव में customize एडी एफएस के पूरे लॉगिन पेज और प्रमाणीकरण ईवेंट कर सकते हैं। हालांकि बुनियादी स्थापना के लिए प्रत्येक उपयोगकर्ता को आपकी सक्रिय निर्देशिका में परिभाषित करने की आवश्यकता होती है। आप दावों के स्टोर के रूप में अपने डीबी का भी उपयोग कर सकते हैं (अन्य डेटा बेस एडी एफएस उपयोगकर्ताओं के बारे में जानकारी के साथ भरोसेमंद अनुप्रयोग प्रदान करने के लिए उपयोग करेगा)। ध्यान दें कि यदि आप एडी एफएस के पीछे एक एडी का उपयोग करना चाहते हैं, तो आपकी एडी एफएस सेवा इसे एक्सेस करने में सक्षम होनी चाहिए और एलडीएपी पूछताछ करनी चाहिए, जो मुझे यकीन नहीं है कि आपके लिए काम करेगा, यदि आपके उपयोगकर्ता अपने स्थानीय डोमेन में लॉगिन करते हैं कि एडी एफएस से परिचित नहीं है।

यदि आपको उद्योग एसएसओ मानक प्रोटोकॉल (एसएएमएल 2.0 मैंने उल्लेख किया है) का समर्थन करने की आवश्यकता नहीं है, तो मुझे यकीन नहीं है कि एडी एफएस लागू करना इतना अच्छा समाधान होगा। यह आपको एक निश्चित तरीके से काम करने के लिए मजबूर करता है, जो हमेशा आरामदायक नहीं होता है।