Несколько вопросов по Oauth2 на сервере ADFS 2016

Question

Я уже давно привык работать с ADFS, и недавно меня попросили провести проверку концепции с Oauth2 на ADFS. Пытаясь разобраться в терминологии, мне удалось настроить большинство вещей, но все же у меня остались вопросы, на которые нет ответа. Надеюсь, кто-нибудь сможет пролить свет на эти ...

Для доверяющих сторон SAML / WS-Fed можно настроить пользовательский веб-контент с помощью Set-AdfsRelyingPartyWebContent. Возможно ли это также для проверяющих сторон веб-API, созданных в группе приложений? ?

Даже после установки «IssueOAuthRefreshTokensTo» «AllDevices» в веб-приложении api я все еще не получаю токены refre sh. Что мне здесь не хватает?

При публикации токена, выданного нашим ADFS, например, на jwt.io, я получаю ошибку «проверки подписи». Как мы можем это решить?

Мы хотели бы установить аудиторию для токенов доступа, чтобы приложения могли использовать аудиторию вместо использования appid для проверки того, могут ли они потреблять токен. Можем ли мы изменить аудиторию?

Что делает add-adfsclient? Создает ли он client_id, который затем можно связать с проверяющей стороной (с помощью Grant-AdfsApplicationPermission), тем самым разрешив OAuth2 для существующей проверяющей стороны? пароль 'как grant_type с потоком предоставления учетных данных клиента, я не могу найти правильный синтаксис, поскольку ADFS всегда выдает ошибку' MSIS9622: проверка подлинности клиента не удалась. Убедитесь, что учетные данные, предоставленные для аутентификации клиента, действительны. '. Я использовал синтаксис «user@fqdn» для имени пользователя.

Спасибо, что помогли мне здесь!

Answer 1

Дайте мне попробовать поработать с ними.

В ADFS приложения OID C и WS-Fed / SAML RP совершенно разные. Вы не можете смешивать и сопоставлять.

jwt.io имеет ошибку подписи, потому что он не знает хорошо известную конечную точку для получения ключа. Обратитесь к этому .

Чтобы получить дополнительные утверждения, вам необходимо добавить API, поскольку это единственное место для правил утверждений.

Чтобы получить токен refre sh, вам нужна область "offline_access".

Для пароля владельца ресурса, имя пользователя и пароль являются отдельными полями. См. здесь .

Не стесняйтесь задавать дополнительные вопросы. Просто расширьте свой вопрос.

Также примеры здесь . Посмотрите на меню на LHS.

Обновить

Что вы имеете в виду под «может изменять веб-контент для каждой проверяющей стороны»?

Re. jwt.io, прочтите this .

Для refre sh токенов прочтите this . Похоже, что ADFS здесь не соответствует спецификации c.