Microsoft CardSpace wurde bereits in dem früheren Artikel "Zeigt her eure Karten…"  grob eingeführt.
Doch wie läuft eine Authentifizierung mittels CardSpace ab?

Folgende Grafik veranschaulicht die dazu notwendigen Schritte:

Dabei gibt es zwei Möglichkeiten:

1. Szenario mit einer WS-* implementierender Relying Party
2. Szenario mit einer nicht WS-* implementierender Relying Party (normale Webseite),
   Anwendung = Webbrowser)

Szenario mit einer WS-* implementierender Relying Party

1a) Security Token-Anforderung erfragen
1b) Policy beschrieben durch WS-SecurityPolicy wird mittels WS-MetadataExchange zurückgegeben
2) Idenity Card auswählen
2a) CardSpace Identity Selector graut digitale Identitäten aus, die nicht zur Policy passen
2b) der Benutzer kann eine der passenden digitalen Identitäten auswählen
3) Security Token anfragen (WS-Trust)
4) Security Token präsentieren, Übermittlung an Relying Party mittels WS-Security

In einem vorhergehenden Blog-Beitrag ist bereits der Ablauf für den Endbenutzer bei einem OpenID-Login kurz angeschnitten worden. Um aber das Konzept hinter OpenID ganzheitlich zu begreifen, ist es wichtig, die einzelnen Schritte technisch nachzuvollziehen. Deshalb möchte ich anhand der nachstehenden Grafik diese detailierter erläutern.

1. Der Benutzer gibt in dem Formular in seinem Webbrowser seine OpenID-Identität ein. Im konkreten Fall verwenden wir wieder http://doubleslash.myopenid.com. Danach schickt er das Formular über den Submit-Button an den Webserver ab.
2. Der Webserver seinerseits verarbeitet den Formularrequest und parst den HTML-Inhalt. Dabei sucht er nach folgendem Tag:

   <link rel="openid.server" href="$OPEN_ID_SERVER">

   An der Stelle ist natürlich anzumerken, dass der Wert für das Attribut “href” die jeweilige URL des OpenID-Servers beinhaltet.

Mit CardSpace bringt Microsoft bei Windows Vista eine sehr interessante Entwicklung in den Markt des Identity und Access Management ein. Microsoft definiert eine digitale Identität dabei als Menge von Behauptungen, welche durch eine Art Beweis bestätigt werden. Im realen Leben äußert sich dies meist in Form von Karten. So stellt der Staat zum Beispiel den Führerschein aus, um zu bestätigen, dass der Autofahrer tatsächlich berechtigt ist ein Kraftfahrzeug zu führen. Diese Metapher nutzt Microsoft bei CardSpace und erhofft sich mit ihr denselben Erfolg, den seiner Zeit die Metapher des Ordners für Verzeichnisse im Dateisystem hatte.