0

我正在为 SharePoint 配置 POC，并通过第三方帐户提供程序进行身份验证，并遇到了几个问题，并遵循 microsoft 在http://technet.microsoft.com/en-us/library/cc731443(v=ws.10 ) 提供的文档).aspx。我看到的大多数文档都是针对 ADFS 2.0 RTW

问题是当我尝试访问 SharePoint 网站时，我被重定向到帐户提供商 ADFS 网站，并弹出 NTLM 提示。一旦我输入我的凭据，我会收到以下错误

由于 URL 未识别任何已知的信任应用程序，因此无法满足 URL 为“https://spadfsweb.spdev.com/_layouts/Authenticate.aspx?Source=/”的应用程序的令牌请求。

这是我的设置

ADFS 帐户提供程序（ADFS 角色和 DC 位于不同的计算机中）

  • 视窗 2008 R2
  • 添加了 ADFS 角色
  • ADFS 具有以下参数
    • 令牌签名证书“ ​​sts.adfsaccount.spaccount.com ”
    • 联合服务 URI
      • urn:federation:accountprovider
    • 联合服务端点 URL
      • https://sts.adfsaccount.spaccount.com/adfs/ls/
  • 导出令牌签名证书并将其导入资源合作伙伴 ADFS

ADFS 资源合作伙伴（ADFS 角色和 DC 位于不同的计算机中）

  • 视窗 2008 R2
  • 添加了 ADFS 角色
  • ADFS 具有以下参数
    • 令牌签名证书“ ​​sts.staging.spresource.com ”
    • 联合服务 URI
      • 瓮：联合：资源提供者
    • 联合服务端点 URL
      • https://sts.staging.spresource.com/adfs/ls/
  • 具有以下受信任的应用程序，即共享点
  • 导出令牌签名证书并将其导入帐户合作伙伴 ADFS

以下是我如何配置 SharePoint 网站的步骤

$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("C:\Data\Certs\stsadfsaccount_exporttokensign.cer")
New-SPTrustedRootAuthority -Name "Account Token Signing Cert" -Certificate $cert
$map = New-SPClaimTypeMapping -IncomingClaimType "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" -IncomingClaimTypeDisplayName "EmailAddress" -SameAsIncoming
$map2 = New-SPClaimTypeMapping -IncomingClaimType "http://schemas.microsoft.com/ws/2008/06/identity/claims/role" -IncomingClaimTypeDisplayName "Role" –SameAsIncoming
$ap = New-SPTrustedIdentityTokenIssuer -Name "Staging Provider"-Description "User account domain from adfs to provide authenitcation" -Realm "urn:federation:resourceprovider" -ImportTrustCertificate $cert -ClaimsMappings $map,$map2 -SignInUrl "https://sts.adfsaccount.spaccount.com/adfs/ls/" -IdentifierClaim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

---SharePoint有资源提供者的uri、账户伙伴的签名证书和账户伙伴的adfs url

如果我做错了什么，请告诉我。

谢谢迪帕克

4

1 回答 1

3

您似乎建议您使用 ADFS 1.0。实际上，如果您按照您所说的那样遵循http://technet.microsoft.com/en-us/library/cc731443%28v=ws.10%29.aspx，那么您已经配置了 ADFS 1.0，而不是继任者广告文件系统 2.0。在我看来，任何新部署都应该使用 AD FS 2.0。

ADFS 1.0 故障排除页面上描述了您的错误消息；引用：

条件：服务器错误

错误：无法完成对 URL https://... 的应用程序的令牌请求，因为该 URL 没有识别任何已知的信任应用程序

解决方案：当应用程序 URL 未识别任何已知应用程序时，资源联合服务会返回此错误。确保已将应用程序添加到联合身份验证服务的信任策略中。有关如何执行此操作的详细信息，请参阅完成添加应用程序向导。

对于声明感知应用程序，验证在应用程序的 web.config 文件中输入的返回 URL 是否正确，并且它与联合服务的信任策略中指定的应用程序 URL 匹配。

对于基于 Windows NT 令牌的应用程序，请验证在 IIS 的ADFS Web 代理选项卡上输入的返回 URL 是否正确，并且它与联合服务的信任策略中的应用程序 URL 匹配。

此外，如果您还不知道，Microsoft 为 ADFS 1.0 创建了 ADFS 诊断工具；请参阅此博文下载。这个工具可能在追踪这个特定问题时很有用。

希望这可以帮助...

于 2012-04-09T19:18:40.333 回答