如何通过ADFS实现SSO认证并关联数据库用户记录？

核心思路 #

用ADFS实现SSO认证（满足单点登录需求），同时通过LDAP从Active Directory拉取/同步用户数据到应用数据库，解决用户与业务实体（如书籍作者）的关联问题。这是本地AD场景下兼顾SSO和业务关联的标准方案。

方案选型分析 #

先明确各方案的核心问题：

• 方案1（NextJS直连ADFS）：SSO流程简洁，但ADFS不提供批量用户查询接口，无法满足选用户做作者的业务需求，仅用它做认证即可，需搭配其他方式获取用户数据。
• 方案2（API对接ADFS）：SSO流程绕路，且依然解决不了用户数据获取问题，没必要采用。
• 方案3（LDAP自定义认证）：放弃了ADFS的SSO能力，不符合需求，直接排除。
• 方案4（Azure AD）：客户不接受，无需考虑。

具体实施步骤 #

1. 用ADFS实现SSO认证（基于OIDC） #

采用方案1的SSO流程（NextJS直连ADFS），这是最简洁的OIDC单点登录实现：

• NextJS使用next-auth或官方OIDC客户端库对接ADFS，完成授权码流认证，获取ID Token和Access Token。
• 前端携带Access Token调用.NET Web API，API通过ADFS的JWKS端点验证Token合法性，实现无状态认证。
• 认证成功后，API从Token中提取用户唯一标识（如upn或objectGUID），用于关联数据库中的用户记录。

2. 通过LDAP同步AD用户到应用数据库 #

在.NET Web API中实现LDAP查询/同步逻辑，解决用户数据获取问题：

• 配置API连接域控制器的LDAP服务，使用具备AD用户只读权限的服务账号执行查询。
• 实现两个核心功能：
  • 批量用户查询：前端需要选择作者时，API通过LDAP查询AD中的活跃用户列表，返回给前端展示。
  • 用户自动同步：用户首次登录时，API通过Token中的用户标识（如objectGUID），用LDAP查询该用户的详细信息（姓名、邮箱等），自动在应用数据库中创建对应的用户记录；后续通过定时任务（如每日一次）同步AD中的用户状态（比如用户离职被禁用时，标记应用数据库中的用户为失效）。

3. 业务实体关联 #

应用数据库中创建Users表，用AD用户的唯一标识（如objectGUID）作为主键或唯一索引，关联Books表的AuthorId字段：

• 创建书籍时，前端选择AD用户后，将该用户的objectGUID传给API，API关联到Books表的AuthorId。
• 查询书籍列表时，API通过AuthorId关联Users表，返回作者的显示信息。

同步问题处理 #

针对用户从AD移除/禁用的场景：

• 定时任务每日同步AD用户状态，标记应用数据库中已失效的用户。
• API在处理高敏感度业务请求时，可额外校验该用户在AD中的状态（可选，根据业务需求调整）。
• 对于已关联的业务数据（如用户作为作者的书籍），仅标记用户状态即可，无需删除，避免业务数据丢失。

注意事项 #

• LDAP查询要限制返回字段（只取需要的姓名、邮箱、标识等），避免性能问题。
• 需在ADFS中配置声明规则，将用户唯一标识（如objectGUID）加入ID Token/Access Token。
• LDAP服务账号的权限要最小化，仅授予AD用户只读权限，降低安全风险。

内容的提问来源于stack exchange，提问作者Matthijs