Windows Identity Foundation 中的 TrustedIssuers

Question

我一直在使用 ThinkTecture Identity Server 在 Windows Identity Foundation 中试验联合安全和基于声明的身份验证。我在单独的机器上运行 Identity Server，使用在 IIS 中为 SSL 创建的自签名证书并在 Identity Server 中加密令牌。

我正在运行一个本地 MVC 应用程序，通过将标识工具指向 Identity Server 的 FederationMetadata 文件，配置为在 Visual Studio 2013 中使用标识。此配置的一部分包括一个<trustedIssuers>部分，其中包含 Identity Server 证书的指纹。

所有这些都非常简单，但我对客户端上如何使用指纹来信任身份服务器感到困惑。最初，我认为以某种方式直接使用指纹值来验证颁发的令牌，但阅读更多内容后我发现指纹用于查找我机器上的实际证书。但是，据我所知，我从来不需要导出 Identity Server 证书并将其安装在我的客户端计算机上，它就可以正常工作。

如果我自己没有实际安装证书，WIF 如何在这种情况下使用指纹？

Answer 1

默认情况下 - 验证签名的公钥嵌入在令牌响应中 - 这意味着 RP

1. 使用嵌入式证书验证签名
2. 在嵌入的证书上创建指纹（哈希）并确保与配置的指纹匹配。

这样您就不需要在 RP 上部署证书。