本文讨论:
什么是联合身份验证
使用 ADFS 在 ASP.NET 应用程序中实现联合身份验证
信任关系和安全性注意事项
本文使用了以下技术:
ADFS 和 ASP.NET
Active Directory 联合身份验证服务 (ADFS) 是 Windows Server 2003 R2 最重要的组件之一。ADFS 能够 解决很多问题，而其中最显而易见的就是企业到企业的自动化控制问题。在这篇文章中，我将从一个开发 人员的角度来分析 ADFS，我们假设这个开发人员正在构建一个 Web 应用程序，而且希望其他组织也能够 使用这个程序（若要了解从管理员角度对 ADFS 的分析，请参阅 TechNet Magazine 上 Matt Steele 的 文章）。
那么，我所说的企业到企业的问题究竟是什么呢？假设有一家名为 Fabrikam 的自行车制造商想发布 一个 Web 应用程序，使授权经销商能够通过这个应用程序以批发价购买自行车和零部件。但是， Fabrikam 的经销商有两百多家，而且每个经销商都有好几名员工需要使用这个应用程序。因此， Fabrikam 必须建立起一个安全性很高的登录机制。
最直接的解决方案就是创建一个包含用户名和 密码的数据库，但这种方法的管理成本非常高。如果有人致电 Fabrikam，声称自己是某个经销商的员工 ，那么，Fabrikam 该如何验证其真实性呢？他们可能首先与这家经销商公司里某个值得信任的人取得联 系，证实这名员工的身份，然后才开始设置新的帐户。您可以考虑一下这类用户帐户的维护成本：人们可 能会忘记用户名和密码，当然，还可能遇到其他问题。如果这名员工离开了这家经销商公司，会出现什么 情况呢？会有人记得要通知 Fabrikam 应该删除他的用户帐户（用身份标识术语的说法，就是取消设置） 吗？如果没有的话，那么这个用户可能会在自己家里用该经销商的身份去下假的订单。
密码本身 也存在另一个问题。随着计算能力的不断增强，破解密码变得越来越容易，如今，很多组织都倾向于使用 更为强大的身份验证技术，例如智能卡。但是，由于 Fabrikam 必须面对众多不同的经销商，如果采用比 密码更强大的身份验证技术，那么 Fabrikam 一定会应接不暇。
值得注意的是信任在这里也是一 个重要因素。Fabrikam 相信每一家经销商能够提供准确的员工清单，这些员工将被允许通过 Fabrikam 的 Web 应用程序进行采购。