ASP.NET-Web-API 2.2 OWIN mit gemischter Authentifizierung JWT und SAML

Question

Wir haben eine WebAPI, die verschiedene Client-Apps bedienen muss, die jeweils unterschiedliche Authentifizierungsmechanismen verwenden. Ein Web-App-Client authentifiziert sich mit SAML und übergibt dann ein SAML-basiertes Token an die WebAPI. Ein anderer verwendet ein OpenID Connect-Token für die Authentifizierung.

Wir müssen in der Lage sein, beide Arten von Tokens in unserem WebAPI zu verdauen, sie zu validieren und zu authentifizieren. Könnte irgendjemand etwas darüber sagen, wie dies möglicherweise erreicht werden könnte? Jeder Rat würde sehr geschätzt werden.

Answer 1

Welche IDP verwenden Sie?

Einige IDP z.B. ADFS kann so konfiguriert werden, dass es JWT-Token auf einer SAML-Verbindung weitergibt.

SAML war nicht wirklich für Web-API gedacht. Sie könnten z.B. authentifizieren Sie sich mit SAML/OIDC und verwenden Sie dann den Client-Credential-Flow für die Web-API, die lediglich auf einem geheimen Schlüssel beruht. Das hätte jedoch keinen Benutzerkontext.