基于Windows Active Directory实现Web应用SSO登录的可行性及ADFS方案咨询

一、能否用Windows AD凭据实现Web应用无密码SSO #

完全可以实现，核心有两种主流方式：

• 集成Windows身份验证（IWA）：仅限内网域环境使用，要求Web服务器和客户端都加入AD域。客户端浏览器会自动把当前Windows登录的Kerberos或NTLM凭据发送给服务器，全程不用手动输账号密码。需要在Web服务器（比如IIS）里开启Windows身份验证，同时Web应用要支持解析这类身份令牌。
• 基于AD的标准SSO协议（SAML/OIDC）：如果要支持跨网或非域内客户端，可通过AD关联的身份提供者（比如ADFS）实现。域用户登录本地Windows后，访问Web应用时会自动重定向到ADFS获取身份令牌，无缝完成无密码登录。

二、ADFS方案的相关看法 #

优势 #

• 原生适配AD：直接对接企业现有AD，不用额外同步用户数据，域用户身份直接复用，大幅降低用户管理成本。
• 覆盖多场景：既能满足内网域内客户端的无密码SSO，也能通过ADFS的Web应用代理（WAP）支持外网用户访问，还可结合多因素认证（MFA）提升安全性，适配远程办公需求。
• 标准兼容性强：基于SAML 2.0、WS-Federation等成熟工业标准，市面上绝大多数商业Web应用和自定义开发应用都能快速完成集成。

局限性 #

• 部署门槛高：需要搭建ADFS服务器、WAP服务器（用于外网访问），还要配置证书、信任关系等，对运维人员的技术能力有一定要求。
• 维护成本高：服务器需要定期更新补丁、监控运行状态，证书过期前必须及时替换，否则会导致SSO服务中断。
• 云时代的替代选项：如果企业已经使用Azure AD，ADFS的很多功能可以被Azure AD的直通身份验证（PTA）或无缝SSO替代，无需维护本地服务器，更轻量化。

内容的提问来源于stack exchange，提问作者Mohamed Rizwan A Z