simpleSAMLphp с IIS и разными удостоверениями пула приложений - PullRequest
Новая
       13

simpleSAMLphp с IIS и разными удостоверениями пула приложений

0 голосов
/ 20 ноября 2018

С тех пор я боролся с simpleSAMLphp в IIS, и мне просто удалось понять, почему.

Итак, у меня simpleSAMLphp работает как IUSR в отдельном приложении https://myserver/simpleSAMLphp. Это (используется только как SP) настраивается в моей среде AD FS (один IdP).

Затем я создал тестовое приложение simpleTest, которое также работает как IUSR.Все работало нормально.

Я наконец добавил свое настоящее приложение DEV, которое работает как mydomain \ myserviceaccount , и здесь я испытываю несколько перенаправлений, пока не получу некоторые ошибки в simplesamlphp.После некоторого устранения неполадок я понял, что когда я меняю свое веб-приложение на использование IUSR, оно работает как положено.К сожалению, я не могу заставить свое приложение работать как IUSR, и я даже не хочу изменять simpleSAMLphp для использования учетной записи службы, так как в теории у меня может быть несколько учетных записей службы для каждого пула в любом случае.

Кто-нибудь испытывал то же самое и имеет обходной путь, позволяющий другой учетной записи работать с токеном, предоставленным simpleSAMLphp?

Моя конечная цель - использовать один экземпляр simpleSAMLphp и добавить все мои приложения для использования.AD FS для входа в систему, поэтому несколько SP с 1 IdP.

Это фрагмент кода, который я использую на страницах PHP, чтобы узнать, аутентифицирован ли уже пользователь: 

require_once ('C:\inetpub\wwwroot\simplesamlphp\lib\_autoload.php');
$as = new SimpleSAML_Auth_Simple('default-sp');
if (!$as->isAuthenticated()) {
  $params = array(
    'ErrorURL' => '/MyApp/error.php',
  );
  $as->login($params);

}

Большое спасибо

1 Ответ

0 голосов
/ 21 ноября 2018

В конце концов я понял это, надеюсь, это поможет любому, кто использует тот же конфиг, что и мой.

Так что проблема была связана с РАЗРЕШЕНИЯ , для изменения.Меня сбило с толку тот факт, что другой SP работал нормально, пока я не понял, что SP также использует IUSR.

Так что, если вы хотите использовать несколько SP для нескольких веб-приложений, работающих с разными учетными записями служб,Лучше всего запускать пул simpleSAMLphp как пользователь с правами локального администратора.Даже работа с SYSTEM работала во время моего тестирования, но я думаю, что лучше всего создать для него новую учетную запись.

Я провел различные тесты, чтобы подтвердить вышесказанное.

Редактировать этоэто то, что я сделал в основном: https://www.itdroplets.com/simplesamlphp-on-iis-from-scratch-adfs/

...