Может ли веб-сайт пройти аутентификацию на нескольких серверах ADFS?

Прежде всего, «Единый вход» (SSO) не ограничивается ADFS. Это просто означает, что вы вводите свои учетные данные только один раз, а затем все системы, к которым вы обращаетесь, автоматически «узнают» вас; все последующие запросы авторизации прозрачны. Например, если у вас есть несколько веб-сайтов, использующих аутентификацию Windows во внутренней сети вашей компании (тот же домен AD), у вас есть SSO: вы проходите аутентификацию один раз при входе в свой компьютер, а затем ваш веб-браузер автоматически выполняет аутентификацию на этих веб-сайтах с использованием NTLM. или Керберос. В этом случае нет ADFS.

Что позволяет ADFS (и «Федерация» в целом), так это SSO через границы безопасности. В мире Windows зона безопасности обычно создается лесом Active Directory; все в этом лесу доступно с помощью единого входа, обеспечиваемого проверкой подлинности Windows. Но как только вы покидаете эту зону (приложение SaaS, веб-сайт в сети другой компании), вам нужен другой протокол аутентификации для выполнения SSO, и эти протоколы реализованы в ADFS.

Тогда о вашей конкретной проблеме:

• Что вы могли бы сделать, это вместо использования FormsAuth вы используете AdfsAuth. Когда неизвестный пользователь получает доступ к странице, он будет перенаправлен в ADFS для аутентификации (используя перенаправления браузера, как вы правильно упомянули). Чтобы узнать, какой сервер ADFS должен аутентифицировать вашего пользователя, вам нужен способ действительно различать их: список диапазонов IP-адресов для каждого клиента? другой URL для каждого клиента? Если у вас нет чего-то подобного, то единственный способ — показать им список вариантов, таких как: «Я работаю в компании А», «Я работаю в компании Б», «Я работаю в компании С», «Я не работаю». Я не работаю ни в одной из этих компаний и хочу пройти аутентификацию с помощью FormsAuth».
• В этом случае ваша веб-служба WebApi должна сделать следующее: если я знаю, какой сервер ADFS использовать, перенаправить пользователя туда. В противном случае аутентифицируйте пользователя, как обычно, используя базу данных.
• Когда вы используете AdfsAuth для клиента, ваша база данных бесполезна. Вы можете удалить все учетные данные, связанные с этим клиентом.

выполнять аутентификацию ADFS полностью из кода C# в нашем WebAPI

Что ж, можно «повторно реализовать» ADFS в вашей службе, но вы не получите SSO, если сделаете это. Когда вы используете федерацию, вы перенаправляете пользователя на сервер ADFS его компании. Этот сервер ADFS находится в том же домене, что и его компьютер, поэтому здесь пользователь получает SSO. Опять же, ваши пользователи не могут получить SSO, если вы сами их аутентифицируете, потому что ваши пользователи не находятся в той же зоне безопасности, что и ваш сайт.

При аутентификации у нескольких поставщиков удостоверений обычно выполняется перенаправление на ваш собственный. СТС. Таким образом, в этом случае у вас будет перенаправление с www.yourapp.com на sts.yourapp.com, которое перенаправляет на sts.somecustomer.com.

Конкретными инструментами для включения такого потока данных является параметр home realm ( whr) и API Powershell AD FS (чтобы разрешить обслуживание IDP).

Ваш RP-STS действует как точка доверия для приложения и управляет выбором соответствующего IDP. Один RP-STS, много IP-STS. Каждый IP-STS вашего клиента настраивается как доверие поставщика утверждений в AD FS.

Как всегда, Vittorio уже покрыл тему лучше, чем я мог.