Как использовать как внутреннюю проверку подлинности форм, так и проверку подлинности Azure AD

Задача может быть решена с помощью OWIN CookieAuthentication и ASP.NET identity для обработки локальной аутентификации с помощью OpenIdConnect для аутентификации AzureAD.

"другая проблема - теперь я не могу использовать проверку подлинности форм по умолчанию в моем вебе.config или он никогда не перенаправляется на страницу проверки подлинности azure."

Если вы не установите <authentication mode="none" /> в web.config OWIN не может взять на себя аутентификацию / авторизацию процесс для вашего приложения из IIS.

В вашем классе Startup вам нужно будет настроить оба конвейера Identity и OpenIdConnect.

Идентичность

Если вы создаете новый проект MVC, используя отдельные учетные записи для аутентификации, вы можете увидеть автоматически сгенерированный код для класса Startup (пример ниже) в дополнение к контроллеру Account, который имеет действия Login как для прямой аутентификации, так и для ExternalLogin (третья сторона). Вы также можете посмотреть, как можно сопоставить внешний логин провайдер (AzureAD в вашем случае) для локальной учетной записи пользователя, то есть в локальном хранилище идентификаторов приложений, просматривая действия ExternalLogin и ExternalLoginCallback в контроллере Account.

Учебное пособие по настройке минимума, необходимого для аутентификации локальной идентификации.
добавление-минимального-OWIN-Identity-Authentication-к-существующему-ASPNET-MVC-приложению

OpenIdConnect

При настройке OpenIdConnect если вы устанавливаете Notification RedirectToIdentityProvider (как показано ниже) с помощью domain_hint в разделе Домены, имеющем единый вход в Azure Active Directory (портал управления Azure), пользователь должен пропустить страницу приглашения, если он уже прошел проверку подлинности на машине, присоединенной к домену.

Domain_hint - Этот параметр не является частью стандарта OpenID подключения. Лазурный Объявление ввел его, чтобы позволить вам указать, что МВУ требуется проверка подлинности пользователей с. Скажите, что ваше приложение доверяет федеративному клиенту Azure AD. С запросом по умолчанию, пользователи сначала увидят страницы проверки подлинности Azure AD и будут перенаправлены на федеративные ADFS только после того, как они введут свое имя пользователя в текстовое поле. Если вы пошлете параметр domain_hint установлен в федеративный домен, страница Azure AD пропущено, и запрос идет прямо к ADFS, связанным с арендатором. Если пользователь получает доступ к вашему приложению из интрасети и, таким образом, уже прошел проверку подлинности с помощью ADFS, это может фактически включите бесшовный единый вход в систему.

современная аутентификация с помощью Azure Active Directory для веб-приложений p.118

---

Вкладка домен, расположенная под вашим арендатором

---

Существуют также другие параметры, такие как prompt , которые могут быть полезны для управления аутентификацией поток.

Http://openid.net/specs/openid-connect-core-1_0.html

Стартап.Auth

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {

        // Configure the db context, user manager and signin manager to use a single instance per request
        app.CreatePerOwinContext(ApplicationDbContext.Create);
        app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);
        app.CreatePerOwinContext<ApplicationSignInManager>(ApplicationSignInManager.Create);

        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login"),
            Provider = new CookieAuthenticationProvider
            {
                OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<SystemUserManager, SystemUser>(
                    validateInterval: TimeSpan.FromMinutes(30),
                    regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
            }
        });

        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);

        app.UseOpenIdConnectAuthentication(
            new OpenIdConnectAuthenticationOptions
            {

                ClientId = clientId,
                Authority = Authority,
                PostLogoutRedirectUri = postLogoutRedirectUri,

                // Used to skip login prompt for trusted tenant

                Notifications = new OpenIdConnectAuthenticationNotifications()
                {
                    RedirectToIdentityProvider = async (context) =>
                    {
                        context.ProtocolMessage.DomainHint = "someDomainName";
                    },
                }
            });
        }
    }

---

Когда пользователь, не прошедший проверку подлинности, попытается получить доступ к защищенному коду,он будет перенаправлен на страницу входа в Azure. Один из способов справиться с этим-создать пользовательский атрибут, который направляет их на нужную страницу входа.

public class ExampleAuthorize : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        return httpContext.User.IsInRole(this.Roles);
    }


    protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
    {
        filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary
        {
            {"action", "Login"},{"controller", "Account"}
        });
    }
}

обновить до комментария

Учетные Данные Владельца Ресурса Поток Grant (то есть имя пользователя и пароль) может использоваться непосредственно в качестве разрешения авторизации, однако он должен использоваться только там, где это совершенно необходимо (см. принятый ответ) Как принимать учетные данные пользователя программно. Пример проекта аутентификация в Azure AD неинтерактивно с использованием имени пользователя и пароля

Если это просто настроенная страница входа AzureAD для достижения согласованного внешнего вида, то добавление azuread custom branding является опцией.

Непроверенные -

Можно попробовать задать параметры имени пользователя и пароля в запросе RedirectToIdentityProvider. В соответствии со спецификациейOpenIDConnect параметр prompt="none" должен указывать серверу "не отображать никаких страниц пользовательского интерфейса аутентификации или согласия" (см. код и комментарии).

Настройка промежуточного по -

app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions
    {

        ClientId = clientId,
        Authority = "https://login.windows.net/yourcompany.onmicrosoft.com",
        PostLogoutRedirectUri = postLogoutRedirectUri,                   
        Notifications = new OpenIdConnectAuthenticationNotifications()
        {                        
            RedirectToIdentityProvider = async (context) =>
            {
                context.ProtocolMessage.Username = context.OwinContext.Authentication.AuthenticationResponseChallenge.Properties.Dictionary["username"];
                context.ProtocolMessage.Password = context.OwinContext.Authentication.AuthenticationResponseChallenge.Properties.Dictionary["password"];

                // Its my understanding that setting prompt="none" should  tell the server not to display any authentication or consent user interface pages however this has not worked for me                 
                // context.ProtocolMessage.Prompt = "none";
            },
        }
    });

В вашем действии входа -

public void Login(string username, string password, string redirectUri, string loginProvider)
{
    AuthenticationProperties properties = new AuthenticationProperties();       
    properties.RedirectUri = RedirectUri;
    properties.Dictionary.Add("username", username);
    properties.Dictionary.Add("password", password);

    context.HttpContext.GetOwinContext().Authentication.Challenge(properties, loginProvider);
}

В дополнение к решению от cID, взгляните на Azure B2C для хранения ваших пользователей: https://azure.microsoft.com/en-us/documentation/articles/active-directory-b2c-overview/

В B2C у вас есть база данных OWIN/OpenID Connect, полная пользователей, но вам придется перенести туда существующую базу данных форм.

Второй частью этого решения является библиотека preview MSAL, которая объединяет логины AD и B2C