Аутентификация сертификата клиента ADFS с использованием CN и альтернативного имени субъекта, отличного от UPN - PullRequest
Новая
       23

Аутентификация сертификата клиента ADFS с использованием CN и альтернативного имени субъекта, отличного от UPN

0 голосов
/ 12 сентября 2018

Я пытаюсь реализовать проверку подлинности клиента для приложения SharePoint с использованием проверки подлинности сертификата клиента.

Сертификат для пользователей выдается внешним центром сертификации, и мы сопоставляем сертификат с пользователями в Active Firectory по имени, сопоставляя значение сертификата для CN. Однако CN сертификата не совпадает с UPN в Active Directory, и я не могу контролировать, как создается CN (внешний CA).

Когда пользователи пытаются войти в систему с помощью сертификата клиента (мы включаем внешнюю аутентификацию с помощью сертификата + добавляем весь корневой ЦС в хранилище Trusted, чтобы сертификат клиента можно было доверять), пользователю предлагается выбрать сертификат и после что они получают следующую ошибку:

Служба федерации обнаружила ошибку при обработке запроса WS-Trust.

Тип запроса: schemas.microsoft.com/idfx/requesttype/issue

Дополнительные данные Сведения об исключении:

System.ComponentModel.Win32Exception (0x80004005): Неверное имя пользователя или пароль в Microsoft.IdentityModel.Tokens.X509SecurityTokenHandler.KerberosCertificateLogon (сертификат X509Certificate2) в Microsoft.IdentityMimtificatelateateCateject.CateLateCateLateCateLateCateLateCateLateCateLateCateLirectateject IdentityModel.Claims.WindowsClaimsIdentity.CreateFromCertificate (X509Certificate2 сертификат, Boolean useWindowsTokenService, String issuerName) atMicrosoft.IdentityModel.Tokens.X509SecurityTokenHandler.ValidateToken (SecurityToken маркер) в Microsoft.IdentityServer.Service.Tokens.MSISX509SecurityTokenHandler.ValidateToken (SecurityToken маркер) в Microsoft.IdentityServer .Web.WSTrust.SecurityTokenServiceManager.GetEffectivePrincipal (SecurityTokenElement securityTokenElement, SecurityTokenHandlerCollection securityTokenHandlerCollection) по адресу * 1 (дополнительные требования)

1 Ответ

0 голосов
/ 18 сентября 2018

Убедитесь, что сопоставление альтернативного идентификатора выполнено с отпечатком сертификата.

На основании вашего сообщения об ошибке возможны следующие сценарии:

  • Ваша учетная запись службы ADFS не может прочитатьЗначение pwdlastset от пользователей в вашем дочернем домене - проверьте действующие разрешения.
  • Пользователи в дочернем домене никогда не устанавливали пароль, или значение pwdlastset установлено на очень большое или очень маленькое значение, которое не может быть обработано по времени файла - это может произойти, если пользователи подготовлены с помощьюинструмент управления идентификацией, который выполняет запись в базу данных AD особым образом.

Вручную создайте пользователя в дочернем домене и посмотрите, может ли пользователь войти в систему.Если это невозможно, отключите наследование объекта и назначьте разрешение на чтение всех свойств для учетной записи службы - удалите все разрешения «Запретить» у пользователя.

...