使用Kerberos对网站和Web服务进行身份验证是个好主意吗？

Question

通过收购,我们有许多产品需要认证和授权.产品包括网站和客户端应用程序,客户端应用程序使用一些Web服务.我们是.Net商店和服务器将运行Server 2008,客户端将运行XP SP ?? 然后.

这些产品的用户不属于我们的组织,并且从使用独立PC的单个用户运行到运行Active Directory等的组织中的用户.

目前没有通用的身份验证或身份存储,我们正在寻求解决这个问题.我们的目标是:

• 所有产品中的单个用户名和密码(或证书).
• 理想情况下,单个登录(如果我们从客户端应用程序启动网站,则很容易,如果用户首先登录网站然后再启动客户端应用程序,则可能更少).
• 加上平常; 强大,可扩展......

像大多数公司一样,我们资源有限,时间紧迫.

一个建议的身份验证路径是Kerberos,它可能是客户端应用程序对Web服务进行身份验证的理想路径,但我不太乐意在用户提交用户名和密码的网站上使用它,而Web服务器将是负责票务(然后将票证存放在cookie中？).我觉得使用单个身份存储和我们自己的身份验证服务(使用用户名和密码,与排序的哈希进行比较)然后发出自定义的基于时间的安全令牌可能会更好.也许使用SqlMembershipProvider？

感谢所有读过这篇文章的人.Kerberos最适合这种情况还是应该在其他地方寻找？如果不合适,为什么不呢？

我们也在考虑AD LDS的授权,但我认为这篇文章已经足够长了......

Answer 1

您考虑过OpenID吗？