基于Java通过LDAP直接对接ADFS实现用户认证的可行性咨询

ADFS的核心定位是联邦身份服务，原生仅支持WS-Federation、SAML 2.0以及OAuth 2.0/OIDC这类联邦协议，并不提供直接的LDAP认证接口。不过存在两种间接的可行场景，虽非常规方案，但可满足特定需求：

1. ADFS作为LDAP客户端对接后端Active Directory（AD） #

ADFS默认依赖AD作为身份存储，而AD本身支持LDAP协议。此时并非直接用LDAP对接ADFS，而是：

• 应用通过LDAP直接认证AD中的用户
• 若需要ADFS的附加能力（如多因素认证、访问控制策略），可让ADFS先通过LDAP验证AD用户凭据，再返回联邦认证令牌
  这种场景下，LDAP是ADFS与后端身份源的通信协议，而非应用与ADFS的交互协议。

2. 自定义ADFS扩展实现LDAP认证端点 #

若需让ADFS直接接受LDAP协议的认证请求，可通过ADFS的扩展框架开发自定义逻辑：

• 编写自定义身份验证提供程序（Authentication Provider）
• 让插件监听LDAP端口，处理LDAP绑定请求，验证用户凭据后生成ADFS身份断言
  这种方案需要大量定制开发，不符合ADFS的设计初衷，微软也不提供官方支持，仅适用于有特殊合规或遗留系统兼容需求的场景。

示例Java代码：直接对接AD的LDAP认证（非ADFS） #

原代码缺失关键方法，以下是完整可运行版本：

import javax.naming.Context;
import javax.naming.NamingException;
import javax.naming.directory.DirContext;
import javax.naming.directory.InitialDirContext;
import java.util.Hashtable;

public class LDAPAuthenticator {
    public static void main(String[] args) {
        // AD的LDAP服务地址（非ADFS地址）
        String ldapUrl = "ldap://ad.example.com:389";
        String ldapBaseDn = "dc=example,dc=com";

        // 待认证的用户信息
        String username = "john.doe";
        String password = "UserPass123!";

        try {
            // 使用用户凭据直接绑定LDAP服务器完成认证
            DirContext ctx = new InitialDirContext(getLdapEnvironment(ldapUrl, getUserDistinguishedName(username, ldapBaseDn), password));
            System.out.println("认证成功");
            ctx.close();
        } catch (NamingException e) {
            System.out.println("认证失败：" + e.getMessage());
        }
    }

    // 构建LDAP连接环境参数
    private static Hashtable<String, String> getLdapEnvironment(String ldapUrl, String principal, String credentials) {
        Hashtable<String, String> env = new Hashtable<>();
        env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
        env.put(Context.PROVIDER_URL, ldapUrl);
        env.put(Context.SECURITY_AUTHENTICATION, "simple");
        env.put(Context.SECURITY_PRINCIPAL, principal);
        env.put(Context.SECURITY_CREDENTIALS, credentials);
        return env;
    }

    // 生成用户的完整区分名（DN）
    private static String getUserDistinguishedName(String username, String baseDn) {
        // 若AD使用sAMAccountName作为登录标识，可改为 "sAMAccountName=" + username + "," + baseDn
        return "cn=" + username + "," + baseDn;
    }
}

内容的提问来源于stack exchange，提问作者user2959065