为什么使用联合提供者？

Question

这是我目前了解的内容： -

用户登录IDP，然后IDP为该用户提供一个令牌，当用户尝试访问信任IDP的应用程序时，应用程序将验证该令牌以授权用户根据提供的权利要求做某些事情。

应用程序信任IDP X =应用程序在IDP注册以接收X令牌。

联邦提供商用于什么？我得到的一个解释是，当两个组织不相互信任并且仍然需要员工使用SSO访问两个组织网络时，才使用FP。为什么他们不仅仅是相互信任而不是使用FP？

Answer 1

是很困难的缩写联合身份验证，但主要的概念是这些： - 的STS是做认证的事情，所以没有应用程序必须再处理的密码。安全明智的是，只有一个地方会变硬。 - 通常，每个依赖方都有自己的安全令牌。 STS将发布令牌。通常，一旦用户登录到任何应用程序，它就会自动发出一个令牌。这提供了单点登录。只要“cookie”让你登录就可以在STS域名下工作。 - 类似地，当用户注销时，她将自动使用单一注销登出所有应用程序。 所以最主要的是你可以连接你想要的任何应用程序。该应用程序永远不会看到用户的凭据（因为只有您自己的STS才能看到它们）。这是创建用户可以访问的应用程序的生态系统的安全方式。 另一个好处是通常存储在安全令牌中的声明。这些是任何信赖方自动获得的用户的财产。如果没有这样的机制，您需要创建一些API，以便依赖方可以查询这种既不安全又更麻烦的信息。此外，安全令牌的过期可确保具有非最新数据的任何应用程序（例如已更改的电子邮件）在用户登录并重新登录或何时获得最新数据安全令牌过期（这是你必须做出妥协。）

Answer 2

每@paullem

“在WIF /微软的世界‘身份提供者’（IP或IDP）是对服务器进行身份验证术语一个用户（服务器连接到某个帐户数据库，AD在当前的ADFS情况下）

联合服务器/提供程序通常用于从另一服务器接收SAML令牌的服务器，然后将其转发给下一个Re说谎的党。

的ADFS服务器通常是/一般都。”

所以它们通常是同一个。

不能记得曾经做一个IDP的安装这仅仅是一个联合提供。