标签: federated-identity

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier应该使用什么类型的声明？

这是主要问题,这里还有其他问题.

它与http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name索赔有什么不同？

对于特定用户而言,与名称声明相反,它是永久性的吗

它是全局范围的还是IdP范围的？

我有一个情况,我们有一个MVC 2应用程序(我尝试使用基本的MVC 2应用程序,没有任何额外的东西,仍然是同样的问题),并使用adfs 2来验证我的用户.

所以..现在我进入我的应用程序,我得到以下.. ID3206:SignInResponse消息可能只在当前Web应用程序中重定向:'/ [app]'是不允许的.描述:执行当前Web请求期间发生未处理的异常.请查看堆栈跟踪以获取有关错误及其源自代码的位置的更多信息.异常详细信息:Microsoft.IdentityModel.Protocols.FederationException:ID3206:SignInResponse消息只能在当前Web应用程序中重定向:不允许使用'/ [app]'.

我已经阅读了大部分博客,并发布到一个..

    <federatedAuthentication>
            <wsFederation passiveRedirectEnabled="true" issuer="https://auth.[domain]/adfs/ls/" realm="https://[development domain]/[app]/" requireHttps="true" />
            <cookieHandler requireSsl="true" />
          </federatedAuthentication>
<audienceUris>
    <add value="https://[development domain]/[app]/" />
  </audienceUris>

1. 我对领域和观众有一个尾随的斜线.
2. 我已将他建议的内容添加到Application_BeginRequest中 - 然后我将代码复制到[开发域],就像证书所在的那样..它只是陷入了无限循环.
3. 我还检查了日内瓦服务器上的依赖方..标识符和端点(POST)都是https:// [开发域名]/[app]/ - 再次使用尾部斜杠

我认为这是一个MVC应用程序的问题,我已经在default.aspx页面创建了许多Claims Aware网站并获得了我的声明等.我的想法是,与MVC应用程序有关的路由以某种方式将其错误地发布？

任何帮助真的有点像我正在看这个安静一段时间现在无济于事..

Ĵ

IAM角色和IAM用户之间有什么区别？该IAM常见问题有一个条目解释它,但它是模糊的,不是很清楚:

IAM用户具有永久的长期凭据,用于直接与AWS服务交互.IAM角色没有任何凭据,也无法向AWS服务发出直接请求.IAM角色应由授权实体承担,例如IAM用户,应用程序或AWS服务(如EC2).

我认为IAM角色用于联合登录(例如,使用带有SAML令牌的IdP),并且它们没有像常规IAM用户那样可以下载的永久访问密钥("IAM角色没有任何凭证"部分".

当他们说IAM角色无法直接向AWS服务发出请求时,他们的意思是什么？我可以登录AWS控制台(Web控制台)并创建堆栈等,因此不能这样.

当我尝试在ASP.NET MVC应用程序上获取主页时,我遇到了这个异常.

[CryptographicException:加密操作期间发生错误.]
System.Web.Security.Cryptography.HomogenizingCryptoServiceWrapper.HomogenizeErrors(Func`2 func,Byte [] input)+246
System.IdentityModel.Services.MachineKeyTransform.Decode(Byte [] encoded) +191
System.IdentityModel.Tokens.SessionSecurityTokenHandler.ApplyTransforms(Byte [] cookie,Boolean outbound)
+173 System.IdentityModel.Tokens.SessionSecurityTokenHandler.ReadToken(XmlReader reader,SecurityTokenResolver tokenResolver)+756
System.IdentityModel.Tokens.SessionSecurityTokenHandler.ReadToken( Byte [] token,SecurityTokenResolver tokenResolver)+100
System.IdentityModel.Services.SessionAuthenticationModule.ReadSessionTokenFromCookie(Byte [] sessionCookie)+1164
System.IdentityModel.Services.SessionAuthenticationModule.TryReadSessionTokenFromCookie(SessionSecurityToken&sessionToken)+287
System.IdentityModel.Services.SessionAuthenticationModule. OnAuthenticateRequest(Object sender,EventArgs eventArgs)+231
System.Web.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute()+80 System.Web.HttpApplication.ExecuteStep(IExecutionStep step,Boolean&completedSynchronously)+165

据我所知,SessionAuthenticationModule的cookie出了问题.如果您清除cookie(如此处已在Azure上联合身份验证中所述),它可以正常工作.我想要的是了解发生了什么,如何捕捉异常并解决问题.

有人知道salesforce中的联合身份验证和委派身份验证之间的区别吗？你能解释一下这两种方法的请求流程吗？

我正在尝试建立一个基本网站(AWS上无服务器),允许访问者使用Google和/或Facebook登录.目前我计划使用S3,Cognito with Federated Identities,API Gateway,Lambda(NodeJS)和DynamoDB.客户端应用程序将使用Angular.

我有谷歌和Facebook的社交登录工作,目前我在第一次登录时,在"用户"表中插入一行,其中包括cognitoId,名称,个人资料图片URL等.

我还认为以用他们的电子邮件地址作为密钥存储用户信息是一个很好的设计,而不是像cognitoId这样的东西,以便用户可以使用不同的提供商登录并查看相同的数据.所以我需要知道经过身份验证的用户的电子邮件地址,但我认为它应该来自Cognito,而不是直接来自用户(因为客户端应用程序不应该被信任).

我相信Cognito存储用户的电子邮件地址,因为我在用户池中根据需要启用了该字段.

我遇到的问题是我找不到任何有关如何从Cognito获取用户电子邮件地址的信息.

我最接近的是这篇文章,但我无法在任何地方找到访问令牌:如何使用cognito身份标识获取用户属性(用户名,电子邮件等)

这篇文章表明我可以使用GetUser,但我再次不知道AccessToken的来源:使用AWS cognito身份创建用户

如果我确实需要使用GetUser和AccessToken,它来自何处,以及如何生成它？它是来自客户端,还是我可以使用AWS.config.credentials在Lambda中获取它？

我一直试图弄清楚这一段时间,我觉得我错过了一些非常简单的东西!

我有一个已经构建的Asp.Net应用程序,它使用Asp.Net成员资格提供程序.

有一个客户端Web应用程序,它有自己的登录名.登录后,用户会获得一些链接.这些链接针对我开发的应用程序.目前,由于这是两个域中托管的两个不同的应用程序,因此需要两次登录.

我想要实现的是拥有SSO,而不必在用户已登录客户端应用程序时登录.我已经通读了,似乎可以通过像ThinkTecture IdentityServer这样的STS提供商完成这项工作,并在我们的最后使用ADFS.

这是最好的方法,如果是的话,我找不到很多关于我需要从主应用程序团队要求启用SSO的更新的文档.

我有一个与Microsoft的Exchange租户(company.onmicrosoft.com),一个管理员帐户(admin@company.onmicrosoft.com),以及管理我的(设置)的管理页面.

最近,有一个项目我通过C#从管理页面自动解析一些Web数据.我阅读了很多与SharePoint相关的文章,并阅读了有关STS,SRF文件和主动/被动联合服务的文章.

那么,让我们来看看:

我从https://login.microsoftonline.com/login.srf开始,但是Fiddler意识到我可以直接跳到https://login.microsoftonline.com/ppsecure/post.srf并获得相同的结果.

所以,我去登录,输入我的凭据,然后转发给我管理页面.很简单吧？

所以,我决定复制网络流量,并依赖以下帖子和示例:

• http://allthatjs.com/2012/03/28/remote-authentication-in-sharepoint-online/
• http://garymcallisteronline.blogspot.co.uk/2012/11/claims-explained.html
• http://www.wictorwilen.se/post/how-to-do-active-authentication-to-office-365-and-sharepoint-online.aspx
• http://blogs.msdn.com/b/cjohnson/archive/2011/05/03/authentication-with-sharepoint-online-and-the-client-side-object-model.aspx
• http://blogs.msdn.com/b/cjohnson/archive/2011/05/14/part-2-headless-authentication-with-sharepoint-online-and-the-client-side-object-model.aspx

所有这些网站在屏幕抓取认证,ADFS和一堆其他有用信息上都有很棒的C#示例.问题是所有这些都是针对SharePoint的.

所以,我混合并匹配代码并提出以下内容:

static void Main3()
{
    CookieContainer cookies = new CookieContainer();
    //using Bungie example from http://stackoverflow.com/questions/2508656/logging-into-a-site-that-uses-live-com-authentication
    //Uri url = new Uri("https://login.live.com/login.srf?wa=wsignin1.0&rpsnv=11&ct=1268167141&rver=5.5.4177.0&wp=LBI&wreply=http:%2F%2Fwww.bungie.net%2FDefault.aspx&id=42917");

    Uri url = new Uri("https://portal.microsoftonline.com/");
    HttpWebRequest http = (HttpWebRequest)HttpWebRequest.Create(url);

    http.Timeout = 30000;
    http.UserAgent = "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:26.0) Gecko/20100101 Firefox/26.0";
    http.Accept = "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8";
    http.AllowAutoRedirect = false;
    http.Headers.Add("Accept-Language", "en-us,en;q=0.5");
    http.Headers.Add("Accept-Encoding", "gzip, deflate");  //this option creates the two cookies but …

我正在浏览dotNetOpenAuth示例(OpenIdRelyingPartyMVC和OpenIdProviderMvc)并提出一个问题以便更好地理解......

在依赖方应用程序的MembersArea中,我使用OpenID" http:// localhost:4864/user/bob3 "作为示例.我被重定向到提供者登录页面,然后我使用Bob 5的凭据.成功登录后,我被重定向回RelyingParty,其中写着"祝贺Bob3 ......".

这只是依赖方应用程序中的一个绑定错误,它接受提交给提供程序的OpenID,或者我在Bob3的安全上下文中使用Bob5的凭据进行身份验证,这在我看来是一个主要的安全问题,如我可以通过提供商处的一个工作用户帐户进行身份验证.

似乎大多数WIF信息对于在整个应用程序中启用联合身份验证很有用.我有兴趣使用API​​创建SAML身份验证请求并接收/解释SAML响应.

我在SOL 阅读SAML令牌的SAML属性上发现了以下帖子,这使我在接收和解释SAML响应方面朝着正确的方向前进.任何人都可以向我提供有关如何使用API​​创建SAML请求的更多信息吗？

一般来说,API上的更多信息(阅读材料,视频等)将不胜感激.