[AD] Active Directories trusten of ADFS?

[SeatRider]

Wij leveren een webapplicatie die, simplistisch gesteld, via (ivm SSO) NTLM authenticatie is afgeschermd. Wanneer deze wordt geinstalleerd bij een klant intern kan onze server worden opgenomen in het domein (Active Directory) van de klant, of kan het domein van de klant worden getrust in de Active Directory van onze server.

Nu wordt het lastiger. We willen een server extern gaan hosten en voor meerdere klanten toegankelijk maken. Natuurlijk kunnen we op de server Active Directory draaien, de firewalls openzetten voor replicatie, en de AD domeinen van onze klanten trusten in onze Active Directory. Alle useraccounts van alle klanten zijn dan bekend op onze server, en beschikbaar voor authenticatie. Volgens mij moet dat kunnen zonder negatieve gevolgen voor de klanten onderling (klant 1 moet natuurlijk niet ineens iets kunnen op een server bij klant 2 via onze server).

Nu heeft Windows 2003R2 Federation Services (klik) wat hier eigenlijk heel veel op lijkt, ware het niet dat het speciaal voor dit doel (webapplicaties) is ontwikkeld. ADFS lijkt dus een betere oplossing.

Behalve het nadeel dat de klanten die hier gebruik van willen maken een extra server moeten opzetten als Federation Proxy, en die via inet toegankelijk moeten maken, vrees ik dat onze webapplicatie ook aangepast zal moeten worden, of moet dat transparant werken?

Heeft iemand ervaring met, of een betere suggestie voor bovenstaand probleem?

[SeatRider]

Niemand?
</subtiel kickje>

[djluc]

Even heel simpel gesteld: Als je als user van bedrijf A zit je in bijvoorbeeld: group sales. Die group heeft toch geen rechten op de server van bedrijf B? Oftwel, wat is precies het risico waar je bang voor bent?

[Rolfie]

ADFS is hier inderdaad geschikt. Ik moet nog zien dat je een AD replicatie kan opbouwen met meerdere bedrijven. Security technisch en juridisch zou ik hier nooit toestemming voor geven.