Как ADFS знает, что вы вошли в систему?

Question

Итак, мы работаем над внедрением SSO. Мы используем сервер федерации Active Directory, чтобы «сообщать» нашему сайту о том, что пользователь зарегистрировался через свою машину Windows.

Так поток, как этот

1. http://ourwebsite.com --> redirects to: 2. http://adfsURL.local --> will know that I am logged in to my Windows machine and passes me the token for: 3. http://ourwebsite.com --> I'm logged in now

То, что я не в состоянии понять, как шаг 2 знает, что я вошел в систему. Это просто URL, что я иду, так что веб-сервер перехватывает это и что потом? Проверяет ли он IP-адрес запроса, а затем проверяет, зарегистрирован ли пользователь из этого IP-адреса? Или я неправильно понимаю что-то еще?

Answer 1

Так что я нашел, что для URL-адресов, находящихся в «локальной зоне» вашего ПК, браузеры фактически будут поддерживать отправку информации входа на сервер этого URL-адреса, если сервер запрашивает такую ​​информацию.

Это называется NTLM, и браузеры будут использовать его для входа на сервер с использованием учетных данных Windows (а не ваше имя пользователя/пароль, но некоторый токен).

Answer 2

Он использует встроенную проверку подлинности Windows - see here и here. (Kerberos).

«В отличие от обычной проверки подлинности, встроенная проверка подлинности Windows не запрашивает имя пользователя и пароль. Текущая информация пользователя Windows на клиенте используется для интегрированной проверки подлинности Windows. Если обмен аутентификацией первоначально не разрешает пользователю, Интернет Проводник запрашивает у пользователя имя пользователя и пароль учетной записи Windows, которые он обрабатывает с помощью встроенной проверки подлинности Windows. Internet Explorer запрашивает у пользователя правильное имя пользователя и пароль до трех раз.

Если, однако, пользователь имеет вошел в систему на локальном компьютере в качестве пользователя домена, тогда аутентификация не требуется, когда пользователь обращается к сетевому компьютеру в этом домене ».

Для этого необходимо правильно настроить браузер.

Refer: Windows Integrated AuthN.