SAML Identity Provider basiert auf Active Directory

Question

Ich habe ein Programm von Drittanbietern, das Web-SSO mit SAML 1.1 unterstützt (mit anderen Worten, es ist bereit, als Dienstanbieter zu dienen).

Wir möchten diese SSO für unsere Intranetbenutzer basierend auf ihren Active Directory-Anmeldeinformationen implementieren. Mit anderen Worten, sie haben sich bereits bei ihrem System angemeldet. Verwenden Sie diese Anmeldeinformationen einfach, um ein SSO zu ermöglichen. Ich bin jedoch ein wenig überfordert, wo ich anfangen soll.

Mein erster Gedanke ist, dass IIS/Active Directory leicht als Identity Provider dienen könnte, da IIS uns "integrierte Windows-Authentifizierung" Fähigkeiten gibt. Ich würde denken, wir könnten einfach eine .NET-Webanwendung erstellen, die integrierte Authentifizierung erfordert, die einfach die aktuelle Benutzer-ID extrahiert, die SAML-Antwort erstellt und den Benutzer mit dieser SAML-Antwort zurück an den Dienstanbieter leitet, um das SSO abzuschließen.

Aber dann ist mein Problem, dass ich einfach keine wirkliche Idee habe, wie man diese SAML-Antwort erstellt, die beteiligten X.509-Zertifikate usw. ... Ich frage mich, ob ich über diesen Punkt drüber nachdenke oder wenn das Erstellen dieser SAML-Antwort relativ einfach sein soll.

Beachten Sie, dass SSO nur von Intranet-Benutzern verwendet werden kann. Sie müssen sich also keine Gedanken über die Verbindung mit anderen Unternehmen/Domänen machen.

Answer 1

Ich würde nicht versuchen, etwas SAML kompatibel zu bauen. Es wird Wochen dauern, ein Toolkit zu verwenden und Ihre Bemühungen werden wahrscheinlich nur den einen Anwendungsfall behandeln. Sobald Sie etwas Brauchbares an Ort und Stelle gebracht haben, werden Sie bald feststellen, dass der Rest Ihrer Organisation auch eine Art von SAML-Integration benötigt (entweder intern oder extern).

Der schnellste (und IMHO) einfachste Weg (und Sie werden aussehen wie ein Held) ist etwas wie PingFederate von www.pingidentity.com zu verwenden. Sie können es in weniger als einem Tag in Betrieb nehmen, wenn Sie wissen, was Sie tun.

meine nur 0,02 $

HTH - Ian

Answer 2

Eine weitere Option, die Sie in aussehen wollen kann, ist Active Directory Federation Server (ADFS) 2.0 von Microsoft.