Bom Acho que para um bom entendedor, não basta apenas traduzir alguma coisa do MSDN ou Wikipedia, Material Explicativo aqui.
Windows Identity Foundation (WIF) é uma estrutura de software da Microsoft para criação de aplicativos de "Identity-aware". Ele fornece APIs para a construção de ASP.NET ou WCF baseado em serviços de token de segurança, bem como ferramentas para a construção de aplicações capazes de reconhecimento de "claims-aware".
Claim-aware é uma forma comum para aplicações conseguirem informações sobre quem está logando (Identity) dentro da corporação, ou mesmo na Internet. Ele também fornece uma abordagem bem sólida para aplicativos em execução de intranet ou internet.
A Autenticação com STS funciona com emissao de um token por um agente certificador de identidades. Leia sobre STS aqui
Um exemplo de autenticação com STS é nesse site: Nfp SP com acessando com a opção certificado digital.
Agora que você já está contextualizado, hora de por a mão na massa.
Para desenvolver uma aplicação com autenticação STS, primeiro é preciso de um servidor que seja assinado digitalmente para que este possa emitir o seu token.
Depois é necessário adicionar esse certificado na sua Lista de TrustedIssuer (exemplo aqui)
Depois de isso tudo é necessário implementar uma autenticação baseada no Windows Federated Authentication. É muito comum usar smartcards para isso, apenas colocando o seu numero de PIN e desbloqueando o acesso a aplicação. Ah, o Cartão por sua vez precisa ser confeccionado por uma agência confiável, Por exemplo, a imprensa oficial.
O Exemplo que usarei é utilizando uma aplicação escrita em asp.net MVC autenticando pelo WIF.
public abstract class SecurityController : Controller
{
// Fields
private IdentitySection _identityConfig;
// Methods
[AcceptVerbs(HttpVerbs.Post), ValidateInput(false), AllowAnonymous]
protected ActionResult ProcessToken()
{
var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
string str = null;
if (wSFederationAuthenticationModule.CanReadSignInResponse(System.Web.HttpContext.Current.Request, true))
{
str = System.Web.HttpContext.Current.Request.Form["wctx"];
}
return new RedirectResult(str ?? wSFederationAuthenticationModule.Reply);
}
[AllowAnonymous]
public ActionResult SignIn(string issuer)
{
var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
string str = null;
if (!base.User.Identity.IsAuthenticated)
{
str =
new SignInRequestMessage(new Uri(string.IsNullOrEmpty(issuer) ? wSFederationAuthenticationModule.Issuer : issuer),
wSFederationAuthenticationModule.Realm, wSFederationAuthenticationModule.Reply).WriteQueryString();
}
return new RedirectResult(str ?? wSFederationAuthenticationModule.Reply);
}
public ActionResult SignOut()
{
var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
if (base.User.Identity.IsAuthenticated)
{
wSFederationAuthenticationModule.SignOut(false);
}
return new RedirectResult(wSFederationAuthenticationModule.Reply);
}
// Properties
protected IdentitySection IdentityConfig
{
get
{
return (this._identityConfig ?? (this._identityConfig = (IdentitySection)ConfigurationManager.GetSection("federatedMvc.identity")));
}
}
}
federatedMvc.identity é uma seção do seu Web.Config que conterá suas chaves de segurança para o seu servidor STS.
Por exemplo:
<federatedMvc.identity securityController="Seguranca">
<authenticationUris>
<add type="Certificate" uri="https://CapsuleCorp/Identity.STS.Certificado/Login.aspx" />
</authenticationUris>
</federatedMvc.identity>
Depois é necessário adicionar a seção <microsoft.identityModel>
em seu web.config também.
e depois apontar os itens necessário conforme exemplo:
<service>
<audienceUris>
<add value="http://CapsuleCorp.com/FindDragonBalls" />
</audienceUris>
<federatedAuthentication>
<wsFederation passiveRedirectEnabled="false" persistentCookiesOnPassiveRedirects="false"
issuer="https://CapsuleCorp.com/Identity.STS.Certificado/Login.aspx"
realm="http://CapsuleCorp.com/realm" reply="http://CapsuleCorp.com/home" requireHttps="false" />
<cookieHandler requireSsl="false" />
</federatedAuthentication>
<certificateValidation certificateValidationMode="None" revocationMode="NoCheck" />
<issuerNameRegistry type="Microsoft.IdentityModel.Tokens.ConfigurationBasedIssuerNameRegistry, Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35">
<trustedIssuers>
<add name="CN=CapsuleCert" thumbprint="89cf12ef1f36a9bacaa4e813a44bb699bb46c359" />
</trustedIssuers>
</issuerNameRegistry>
</service>
após isso voce pode consultar todas as claims retonada pelo serviço de claim,
negar acesso ou redirecionar para algum lugar, ai o céu será o limite. E com isso, com base em cada claim, você poderá direcionar os seus esforços, qualquer dúvida nao hesite em perguntar.