WCF STS负载平衡和证书

想知道在使用符号和加密令牌的负载平衡环境中部署自定义WCF-Security令牌服务（STS）的最佳实践是什么

我们使用Cirtix NetScaler来处理负载平衡和SSL终止（即，证书仅安装在NetScaler服务器上）。已指定STS通过SigningCertificateName和EncryptionCertificateName应用程序设置对令牌进行签名和加密。但是，当前web服务器配置的证书存储中没有安装本地证书

因此，我的问题是：-

• 如果令牌通过SSL传输，我们是否需要担心签名和加密
• 我们应该在每个web服务器上安装证书，还是可以使用负载平衡器
• 我们可以在每个web服务器上使用相同的证书，还是需要为每个web服务器购买证书

---

没有签名的STS没有多大用处：没有签名，任何依赖方都无法区分STS发行的有效令牌和恶意伪造的令牌

为支持SSL而安装的证书通常与STS的签名证书不同。后者标识服务，而不是web服务器。因此，务必在负载平衡器上安装SSL证书。但是，您需要在托管服务的每台计算机上安装另一个表示服务标识的证书（及其私钥），以用作签名证书。每个服务器上都应该有相同的证书（它是相同的服务）

---

但是，您通常不需要购买这样的证书：您可以发布自己的证书-您只需要确保每个潜在的依赖方配置为将证书识别为受信任的STS，并且信任证书的根颁发者（如果是自签名证书，则为证书本身；如果使用证书服务器颁发，则为根证书）。

感谢您回答上述问题。