当社の webapi エンドポイントは、ブラウザー ベースのクライアント (angular) と非ブラウザー ベースのクライアント (restsharp) の両方に使用され、webapi は現在、プロトコルとしてパッシブ WS-Federation と STS として ADFS を使用して保護されています。パッシブ WS-Federation はブラウザ以外のクライアントには最適ではないため、現在、restsharp クライアントにはかなり複雑な回避策を使用しています。そのため、ADFS を置き換えることなく、これらのタイプのクライアントの webapi エンドポイントを保護するためのより良い方法を見つけたいと考えています。または追加のインフラストラクチャを追加します。
私の理解では、OAuth2 "Resource Owner Password Credentials Grant" (grant_type=password) はこのシナリオを適切にサポートしますが、残念ながら現在 ADFS ではサポートされていません。
ですから、私の質問はこれです。ADFS がサポートする 1 つの OAuth2 フロー、つまり「Authorization Code Grant Flow」(grant_type=authorization_code) を使用して、非ブラウザー ベースのクライアントをサポートする良い方法はありますか?
これが不可能な場合、WCF を使用せずに、WS-Trust とベアラー トークンを使用して WebApi エンドポイントを保護できますか?