問題タブ [thinktecture-ident-server]

Sliding Sessions for WIF 4.5で説明されているように、Relying Party アプリケーションにスライディング セッションを実装しました。それはうまく機能しますが、誰も話していないように見える問題が 1 つあります。

リンクされたブログ投稿が指摘しているように、RP トークンの有効期限が切れると、次回リクエストを行うときにトークンが STS から再発行されます。もちろん、STS セッションの有効期間が RP のセッション有効期間よりも長いと仮定すると、スライディング セッションを実装している場合はほぼ確実に当てはまります。

いずれにせよ、それはスライディングセッションのすべてのポイントを完全に打ち負かします.

RP セッションが期限切れになったときに何をすべきかについては、誰も話していないようです。私が望むのは、RP セッションがタイムアウトした場合 (通常、誰かが自分のデスクから 10 分間離れたために)、アプリケーションが STS ログイン ページにリダイレクトされ、そこでユーザーが再認証され、その後リダイレクトされることです。私がリクエストしたページ。または、リクエストを行ったときに表示していたページに移動することもできます。

これが可能であることはほぼ確実ですが、それがどのように行われるかはまったくわかりません。

global.asax からの私のコードは次のとおりです。

私の質問:

1. 句はelse、再認証ロジックを配置する適切な場所ですか?
2. もしそうなら、私にはわからないので、例を挙げてください。
3. #1 に対する答えが「いいえ」の場合、サブスクライブする必要がある別のイベントがあり、「ねえ、セッション セキュリティ トークンの有効期限が切れています!」と通知されますか?

ID とアクセス制御を使用しており、Ws-federation プロトコルを使用してブラウザー ベースの SSO (シングル サインオン) を有効にしたいと考えています。このプロトコルがセキュリティ上の理由で推奨されていないかどうかを知りたいですか?

をデコードすることは可能SessionSecurityTokenですか?

ThinkTecture IdentityServerを使用してサイトをセットアップしましたがMachineKeySessionSecurityTokenHandler、すべてが期待どおりに機能します。
しかし今、トークンを別のサービスに渡す必要がありますAuthorizationが、Cookie ではなく HTTP ヘッダーで渡します。

私は次のことを試しました：

しかし、これはSystem.Security.Cryptography.CryptographicException

thinktectureのIDサーバー以外に他のIDサーバーを知っている人はいますか? いくつか評価する必要がありますが、もう見つかりませんか?

IIS に 3 つの (Dev、Test、および Prod) Thinktecture IdentityServer (IdSrv) をセットアップしました。これらを ADFS 2.0 の IdP として使用しています。1 つの IdSrv では正しく機能していますが、他の 2 つを追加するのは困難です。問題は、ADFS が各 IdSrv に異なる署名証明書を使用することを望んでいることですが、私はこれを行うことができないようです。3 つの自己署名証明書を作成し、MMC を使用して [秘密キーの管理] を使用して、各 IDSrv アプリケーション プールへのアクセス許可を各証明書に割り当てました。しかし、メタデータ ページに移動しようとすると、「キーセットが存在しません」というエラーが表示されます。証明書が 1 つだけ割り当てられているようで、他の証明書は無視されます。各 IdSrv に異なる IP アドレスを割り当てようとしましたが、役に立ちませんでした。

誰かがこれをしましたか？これは可能ですか？それとも、各 IdSrv を独自のサーバーに配置する必要がありますか? 多くの理由で、私は本当にその解決策が好きではありません。

どんな助けでも大歓迎です!!