Аутентификация в STS с помощью выданного токена

Да, вы можете пройти аутентификацию в службе STS A с помощью токена, выданного службой STS B. Служба STS A должна быть настроена так, чтобы она доверяла STS B как известному поставщику удостоверений.

Я думаю, что с thinktecture STS это можно сделать, настроив нового поставщика удостоверений WSStar. Если одна служба STS области добавляет другую область STS в качестве поставщика удостоверений, она должна начать принимать маркеры, выданные из этой области + сертификат.

Для WCF достаточно безболезненным способом настроить выданные каналы токенов является метод расширения WIF CreateChannelWithIssuedToken:

http://msdn.microsoft.com/en-us/library/ee517268.aspx

1MB — это действительно очень большой токен. Могут быть и другие веские причины для разделения на несколько STS в отдельных областях, но в качестве альтернативы вы можете помочь решить проблему, динамически получая разрешения с помощью политики или хранилищ разрешений на стороне проверяющей стороны, где потребляется ваш токен, а не предварительно вычисляя все детализированные разрешения со стороны STS. Но я говорю это, не зная вашего конкретного приложения, поэтому не стесняйтесь сказать мне уйти :)

Что вам действительно нужно, так это обновить токен с истекшим сроком действия. Мы не поддерживаем это. И тоже не планирую этого делать.

Вы можете установить время истечения срока действия на значение, которое вам подходит, а затем принудительно повторно войти в систему после этого.

Токены размером 1 МБ не являются хорошей идеей — вам нужно либо использовать их в оба конца, либо создать сходство сеансов. Токены предназначены для описания личности пользователя, а не для того, чтобы сбрасывать в них все возможные значения.

Почему RP не загружает правила authZ от IdP через сервисный вызов?