问题标签 [adfs]

我正在实现一个简单的负载均衡器——它是一个 http 侦听器，它解析来自浏览器的传入请求并将它们路由到适当的 ASP.NET 应用程序。它侦听某个端口 (8801) 并在路由时保留原始 URI 并仅更改端口号，例如https://machine.domain.com:8801/testsite/Default.aspx可以路由到https://machine .domain.com:8811/testsite/Default.aspx

没有安全路由就可以正常工作。当我尝试将 WIF 联合应用于 ASP.NET 应用程序时，问题就出现了。我使用 ADFS 2.0。这是我尝试过的两种情况：

情景 1

依赖方的 WS-Federation 被动端点设置为 ASP.NET 应用程序 URI

当通过浏览器访问负载均衡器 URI 时，负载均衡器路由到 ASP.NET 应用程序并加载页面，但是，根据被动，来自 STS 的 RequestSecurityTokenResponse 被直接重定向到 ASP.NET 应用程序（而不是负载均衡器）端点设置。所以它可以工作，但由于我希望通过负载均衡器处理与 ASP.NET 应用程序的整个通信，所以这种情况不符合我的要求。

情景 2

依赖方的 WS-Federation 被动端点设置为负载平衡器 URI

当通过浏览器访问负载均衡器 URI 时，负载均衡器路由到 ASP.NET 应用程序，该应用程序返回未经授权的响应，浏览器重定向到 STS，RequestSecurityTokenResponse 被重定向回负载均衡器，但是当进一步路由到 ASP.NET 应用程序时，我得到 401 的响应 - 未经授权：由于凭据无效，访问被拒绝。这是由于我认为 URI 不匹配，因为 saml 令牌是为负载均衡器 URI 颁发的。我尝试了各种受众 uri 和领域的组合，但没有成功。

所以我的问题是是否存在使负载均衡器能够处理所有必要的联合通信的解决方法，因为我的 ASP.NET 应用程序只能从负载均衡器访问。

我希望我足够清楚地解释了我的问题。

非常感谢帮助谢谢

我已经在 Windows 2008 R2 机器上安装了 SQL Server Reporting Services 2005，并且成功地在报表服务器和报表管理器虚拟应用程序上集成了 Windows 身份验证。您知道是否可以将报表管理器和报表服务器集成到 ADFS？

我找到了一些非常有用的教程，但到目前为止还没有找到任何有关在 IIS 7.5 下使用 ADFS 运行报表虚拟应用程序的信息。在 IIS 6 下运行看起来是可能的。

我正在为 SharePoint 配置 POC，并通过第三方帐户提供程序进行身份验证，并遇到了几个问题，并遵循 microsoft 在http://technet.microsoft.com/en-us/library/cc731443(v=ws.10 ) 提供的文档).aspx。我看到的大多数文档都是针对 ADFS 2.0 RTW

问题是当我尝试访问 SharePoint 网站时，我被重定向到帐户提供商 ADFS 网站，并弹出 NTLM 提示。一旦我输入我的凭据，我会收到以下错误

由于 URL 未识别任何已知的信任应用程序，因此无法满足 URL 为“https://spadfsweb.spdev.com/_layouts/Authenticate.aspx?Source=/”的应用程序的令牌请求。

这是我的设置

ADFS 帐户提供程序（ADFS 角色和 DC 位于不同的计算机中）

• 视窗 2008 R2
• 添加了 ADFS 角色
• ADFS 具有以下参数
  • 令牌签名证书“ ​​sts.adfsaccount.spaccount.com ”
  • 联合服务 URI
    • urn:federation:accountprovider
  • 联合服务端点 URL
    • https://sts.adfsaccount.spaccount.com/adfs/ls/
• 导出令牌签名证书并将其导入资源合作伙伴 ADFS

ADFS 资源合作伙伴（ADFS 角色和 DC 位于不同的计算机中）

• 视窗 2008 R2
• 添加了 ADFS 角色
• ADFS 具有以下参数
  • 令牌签名证书“ ​​sts.staging.spresource.com ”
  • 联合服务 URI
    • 瓮：联合：资源提供者
  • 联合服务端点 URL
    • https://sts.staging.spresource.com/adfs/ls/
• 具有以下受信任的应用程序，即共享点
  • https://spadfsweb.spdev.com/_trust/，我有各种各样的组合，如下所示
    • https://spadfsweb.spdev.com
    • https://spadfsweb.spdev.com/_layouts
• 导出令牌签名证书并将其导入帐户合作伙伴 ADFS

以下是我如何配置 SharePoint 网站的步骤

---SharePoint有资源提供者的uri、账户伙伴的签名证书和账户伙伴的adfs url

如果我做错了什么，请告诉我。

谢谢迪帕克

我正在使用 Silverlight、WIF 和 ADFS 的被动联合身份验证。我遵循了培训工具包示例http://msdn.microsoft.com/en-us/identitytrainingcourse_silverligthandidentity2010_topic2

一切正常。声明回来了，用户通过了身份验证，等等。它与 RIA 服务一起工作得很好。

使用该应用程序 1 小时后出现问题。令牌似乎变得无效，并且从 Silverlight 客户端到域服务的所有后续调用都失败了。

我检查了 ADFS 设置，它们都是默认设置。

• Get-ADFSRelyingPartyTrusts 显示 TokenLifetime = 0
• Get-ADFSProperties 显示 SsoLifetime = 480（我假设为 8 小时）。

我正在使用培训工具包中包含的程序集：SL.IdentityModel & SL.IdentityModel.Server。

在线我看到人们提到设置新鲜度值，但这似乎并不适用，因为一切都是由 SL.IdentityModel.Server 服务自动设置的。

我在我的 ASP.net Web 应用程序中使用 ADFS 进行身份验证。STS 服务器将浏览器重定向到https://test.contoso.com。首先将客户端重定向到 STS 时，STS 不允许任何返回 URL 参数。

是否可以将浏览器从https://test.contoso.com（从 STS 重定向后）重定向到任何其他 URL，例如https://variableName.test1.contoso2.com？

任何帮助深表感谢。

我们有一个用于广告的内部域名 foo.local。我们目前正在设置一个使用 adfs 进行身份验证的应用程序，并希望将 app.foo.com 和 adfs.foo.com 用于我们的 adfs。

如果我在 adfs.foo.local 上设置我的 adfs 实例，并在 adfs.foo.local 机器上创建第二个 Web 应用程序，它将使用带有 cn=adfs.foo.com 的 ssl 证书，这样就足够了，或者我需要一个 adfs 代理来完成这个吗？

当用户更改页面上的任何值（文本框/LOV）并错误地关闭选项卡/取消按钮时，我需要显示自定义弹出警告消息。

我尝试过的选项是：

a) 在应用程序中，我们为 7 个不同的场景使用复杂的任务流/RegionModel。还要求显示自定义消息 - 因此无法使用“未保存数据警告”方法

http://www.oracle.com/technetwork/developer-tools/adf/unsaveddatawarning-100139.html

b）我尝试的第二个选项是自定义区域控制器：CustomRegionController implements RegionController

在 validateRegion(RegionContext regionContext) 内部想查找页面数据是否脏

或者

在这两种情况下，它始终为真（似乎是由于在页面加载时呈现数据时，一组常见的 VO/View Link 应用程序模块总是变脏）。

我剩下的最后一个选项是为每个元素（textbaox、LOV、复选框）调用 valueChangeListener。我根本不喜欢这个选项。请建议是否有更好的方法来处理这种情况。

我们有一个客户尝试使用 ADFS 对我们的 Web 应用程序进行 SSO。我们正在使用 ComponentSpace SAML 2.0 库。发送给我们的断言如下所示：

ComponentSpace 库正在从 HTTP 帖子中提取完整的 SamlResponse，但它没有报告任何断言（即 samlResponse.GetAssertions().Count == 0）。如果我使用 ComponentSpace 示例，它可以工作，但我注意到我使用 ComponentSpace 库构建的所有元素都以“saml:”为前缀（我认为应该如此）。

ComponentSpace 库是否应该能够在没有 saml: 前缀的情况下找到断言，还是有办法配置 ADFS 以正确发送它？

我一直在问谷歌，但无法给出答案：

我想为我的组织在本地实施 ADFS 服务器。这将是所有应用程序、内部和 DMZ 以及合作伙伴的 SSO 位置。在这种情况下，Google 是合作伙伴（企业应用程序）。我们希望 ADFS 页面使用 SAML2.0 向 Google 进行身份验证。我知道这是可能的。

我的问题是这对将 Gmail 邮件和日历添加到移动设备的用户有何影响。我是否必须以某种方式将用户名和密码与 Google 同步，还是它仍然可以工作？

我们有几个客户使用我们的 Web 应用程序（不是 Intranet），一些客户希望他们的登录应该与他们的组织 Active Directory 集成。他们只是希望该用户应该登录到他们的 Windows 帐户，并且可以在不输入任何用户凭据的情况下访问 Web 应用程序。

我已经阅读了一些关于 ADFS 的文章，但仍然不确定如何集成或实现它。任何建议的解决方案？

谢谢！