WS-Federationの "IdP First"シナリオの実装方法

Question

ADFS 2.0、WS-Federation：ユーザーがIdP Webサイトに最初にアクセスして認証される場合に、SSOを実装したいと考えています。このシナリオでは、私たちの顧客はイントラネットWebポータルを持っており、（サービスプロバイダ）Webサイトへのリンクがあり、実際にIdP Webサイトに誘導され、ユーザーが認証されると直ちにWebサイトにリダイレクトされます。私はそれを正しく実装する方法に関する技術的な詳細を知ることができませんでした。誰でもできますか？

これまで私が行ったことは、Fiddlerを使用してIdPへのリダイレクトリンクをポータルリンクとして使用していましたが、動作するように見えますが、これを行うのが適切かどうかはわかりません。類似の経験をお持ちの場合は、共有してください。

更新：より詳細な使用例：私たちの顧客は、私たちのWebサイト（サービスプロバイダ）へのリンクを持つ独自のイントラネットポータルを持っています。アイデアは、最初のhttpリダイレクトの追加を避け、異なる顧客のために単一のエントリポイントを持つことです。これにより、当社Webサイトは、ユーザーからのセキュリティトークンを利用して顧客の身元を認識することができます。 。ユーザーはリンクをクリックすると、Windowsアカウントで彼を認証し、セキュリティトークンを追加し、彼と彼の組織を認識できる（信頼当事者）Webサイトに彼をリダイレクトする独自のイントラネットIdPサービス（ADFS 2.0）顧客）にトークンを送信し、サービスを利用することができます。このシナリオで何かが間違っているか疑わしいと思ったら教えてください。

Answer 1

通常、FedUtil経由でADFSにバインドされたRP URLは、ADFSが返すものです。したがって、ポータルがADFSにバインドされている場合（そこに入るためにログインする必要がないため、そのようには聞こえません）、認証されたときにその場所に戻ります。

ウェブサイトがADFSにバインドされている場合、ユーザーはポータルに行き、リンクをクリックして認証され、クレームが作成されたトークンがWebサイトにリダイレクトされます。