WIF基本原理（1）标识库

WIF基本原理（1）标识库

WIF是一个开发框架，该框架集成了基于标识的安全模型和方案以及实现细节。WIF给我们带来的好处主要有三点：

q  基于声明的标识处理方式。

q  使业务逻辑与认证、授权彻底分离。

q  可供学习和扩展的安全架构。

本系列主要探讨它的基本原理，从中学习构建一个安全框架的基本要素和方法。重要的是从它的基本原理，了解标识安全的普遍术语和技术模型。

标识库

对于某些应用程序，使用用户标识非常简单。以一个 Windows应用程序为例，它仅供单个组织中的用户访问而无需过多了解用户信息。此应用程序可仅依靠 Kerberos来对其用户进行身份验证，并传达有关他们的基本信息。以仅供Internet用户访问的应用程序为例，此应用程序可仅要求每个用户提供用户名和密码，并将此用户信息存储在数据库中。

但是，对于大多数应用程序，使用用户标识更为复杂。以需要各用户的更多信息（比Kerberos或简单用户名和密码提供的信息更详细）的应用程序为例。此应用程序必须从其他一些来源中获取此信息，或者自行存储此信息。以必须供组织内部员工和Internet用户访问的应用程序为例，此应用程序必须同时支持基于Kerberos的登录，以及基于用户名和密码的登录。最后，假设应用程序必须供不同组织访问而无需单独登录。无法通过Kerberos或用户名和密码登录正确实现此标识联合身份验证。

图15-1显示典型组织中的标识库问题。如图所示，需要强制用户单独登录才能访问用户自己域中的不同应用程序，访问其他域中的应用程序就更不用说了。

图15-1  标识库

如图15-1所示，不同的区域需要不同的标识库，同时，对于整个企业的应用而言，需要整合这些标识，构成一个联合标志库（至少在逻辑上是联合标志库）。但是对于已有固件的改造（比如已存储在不同数据库中的用户标识），或者已有验证逻辑的整合，尤其是不同的业务系统，我们面临着巨大的挑战。如何只用一种标识方案来解决上述问题呢？

基于声明的标识提供了一种可在所有这些情况下使用的标识。它基于广泛认可的可跨平台和组织边界使用的行业标准。同时，已经在多个供应商的产品中得到广泛实现，并且便于开发人员使用。

 ---------------------------------------注：本文部分内容改编自《.NET 安全揭秘》