WS-FederationとSystem.DirectoryServices

Question

私はちょっと混乱しました。 WebサービスのユーザーがLDAP経由で認証できるようにするWS-Federationがある場合、サービスコードにWS-FederationまたはSystem.DirectoryServices名前空間を使用すると、その違いは何ですか？

ありがとうございました

Answer 1

これらの間には比較がありません。

WS-Federationは、シングルサインオンシナリオをサポートするためのプロトコルです。基本的に、Active Profileと呼ばれるWebサービスを使用するクライアントを認証するためのプロファイルと、Webアプリケーション（httpを使用する）でクライアントを認証するためのpassiveという別のプロファイルの2つのプロファイルをサポートします。

フェデレーションサービスのActive Directoryは、Active Directoryの上に構築された拡張で、WS-Federationでユーザーを認証します。

DirectoryServicesは、.NETアプリケーションから直接Active Directoryと通信するために使用するAPIです。認証とは関係ありません。

よろしく、 パブロ。

Answer 2

主なことは、WS-Federationが認証をトークン発行者に委任することです。これにより、ディレクトリサービスの認証コードをトークン発行者に配置し、認証実装について「気にしない」サービスを設計することができます。異なる実装でトークン発行者の複数のエンドポイントを介してクライアントを認証させることもできます。たとえば、Windows認証、ユーザー名/パスなどのメカニズムで認証されたエンドポイントを公開できますが、フェデレーションを介してトークン発行者を信頼するように設定されている他のサービスは、トークン発行認証メカニズムの拡張方法を気にする必要はありません。

フェデレーションを「連鎖する」こともできるので、特定のエンドポイントでフェデレーション自体を使用し、トークン発行を完全に異なるトークン発行者に委任するようにトークン発行者を設定します。したがって、この方法では、「サインインを使用してサインイン」、yahooなどの第三者の信頼できるトークン発行者を使用して認証を実装することができます。フェデレーショントークンを信頼するためにフェデレーションを使用して設定します。また、これにより、DMZにトークン発行者を1つ、ドメイン内に別のトークン発行者を、バックエンドにドメイン内のサービスを持つアーキテクチャが可能になります。また、ネットワーク情報やその他のセキュリティ関連情報なしでWebサーバーをバックエンドサービスで認証できるあなたのドメインは、DMZ外の潜在的なハッカーに利用可能です。