Как установить имя пользователя-пользователя для идентификатора службы STS-эмитента для привязки ws-федерации по конфигурации?

Question

Как указать имя участника службы идентификации в клиенте WCF config для эмитента STS при связывании с использованием WS-Federation?

У меня есть пул приложений, запущенный под учетной записью домена на сервере переднего конца, который пытается аутентифицировать использование федерации для бэкэнд-услуг на сервере приложений (работает под доменными соединениями), используя STS, также запущенную на сервере приложений и в домене Счет.

Чтобы правильно использовать Kerberos, мне нужно установить имя пользователя STS на внешнем клиенте. Я не понимаю, как это сделать.

У меня возникла проблема, связанная с подключением, которая связана с тем, что отказ от NTLM не работает, когда эмитент указан с использованием полного доменного имени, а Kerberos терпит неудачу (согласование SSPI не удалось). Я думаю, потому что у меня нет имени участника-эмитента в конфигурации. Если я задал эмитенту использование IP-адреса вместо этого, то, по-моему, для проверки подлинности на STS с использованием NTLM, так что у меня есть обходной путь.

STS выпускает токены на основе аутентификации Windows на этой конечной точке. У него есть другие конечные точки для типа auth и т. Д.

Возможно, связанная с этим проблема в нашей сети заключается в том, что клиенты Silverlight, которые обращаются к веб-службам, не работают без добавления серверов в зону локальной интрасети в IE. Похоже, что по какой-то причине серверы приложений не считаются находящимися в одном домене. Любые подсказки очень ценятся!

Answer 1

Я нашел решение относительно установки имени пользователя STS. Мне просто нужно, чтобы установить его в эмитенте элемент федерации Переплет: ОК, не знаю, почему я не мог найти это раньше, но первое, что понедельник утром ответ появляется сразу: http://msdn.microsoft.com/en-us/library/aa347735.aspx

Эмитент Элемент wsfederation - это конфигурация конечной точки, которая позволяет вам установить в ней имя участника-пользователя.

Схема из приведенной выше ссылке здесь:

<issuer address="Uri" > 
    <headers> 
     <add name="String" 
       namespace="String" /> 
    </headers> 
    <identity> 
      <certificate encodedValue="String"/> 
     <certificateReference findValue="String" 
     isChainIncluded="Boolean" 
     storeName="AddressBook/AuthRoot/CertificateAuthority/Disallowed/My/Root/TrustedPeople/TrustedPublisher" 
     storeLocation="LocalMachine/CurrentUser" 
        x509FindType=System.Security.Cryptography.X509certificates.X509findtype/> 
     <dns value="String"/> 
     <rsa value="String"/> 
     <servicePrincipalName value="String"/> 
     <usePrincipalName value="String"/> 
    </identity> 
</issuer> 

Что касается сетевых проблем, это проблема DNS. PTR используется вместо псевдонимов.