Прохождение через групповое членство с использованием ADFS (2016) для openid-connect - PullRequest
0 голосов
/ 02 октября 2018

У нас есть сервер ADFS, работающий в Windows 2016, который должен поддерживать OAuth2 и openid-connect.Мы пытаемся раскрыть веб-приложение, которое использует openid-connect, но ожидает членство в группе в претензии "группы".В Azure AD есть руководства по достижению этой цели, однако мы хотели бы настроить это с помощью нашего локального сервера ADFS.пока что мне не удалось.

В Azure AD нужно будет отредактировать файл манифеста и добавить / отредактировать значение «groupMembershipClaims», если для него задано правильное значение, оно будет отправлять группы в заявке.

Я попытался добавить описание утверждений для "групп", сопоставленных с этим типом утверждений;http://schemas.microsoft.com/ws/2008/06/identity/claims/groups и затем возвращает «Token-Groups - Unqualified Names» В том утверждении, которое не принимается.Я также попытался добавить несколько правил «Отправить членство в группе в качестве заявки», в качестве исходящей заявки введите стандартную «групповую» заявку.это также не было успешным.

Кроме того, как дополнительный вопрос, кто-нибудь знает, как расшифровать ответ, данный сервером ADFS, когда я получаю файл cookie ответа с серверов ADFS, это файл cookie типа MSISAuth, но яне может видеть содержание этого.похоже, что это не BASE64-кодировка.

У кого-нибудь есть идеи, как этого достичь?

1 Ответ

0 голосов
/ 02 октября 2018

Это должно работать.Я подозреваю, что проблема заключается в том, что претензии не относятся к приложению.

Это приложение SPA ?

Какой стек вы используете - ADAL,OWIN ...?

При аутентификации вы должны увидеть токен доступа, токен ID и токен обновления в полезной нагрузке.

Вы можете декодировать их с помощью jwt.io.

...