Как настроить simplesamlphp для использования ADFS 2 в качестве idp - PullRequest
Новая
       49

Как настроить simplesamlphp для использования ADFS 2 в качестве idp

2 голосов
/ 14 октября 2011

Я пытаюсь заставить simplesamlphp 1.8 использовать ADFS 2 в качестве IdP.

Теперь я серьезно застрял при получении диалога проверки подлинности NTLM в браузере, который не принимает вход в систему (после выбора «Проверить источники проверки подлинности»"->" default-sp ").

В config / config.php 

'default-sp' => array(
        'saml:SP',
        'privatekey' => 'saml.pem',
        'certificate' => 'saml.crt',
        'idp' => 'http://fs.example.org/adfs/services/trust',
    ),

В metadata / saml20-idp-remote.php (преобразовано из https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xmlс /admin/metadata-converter.php)

    $metadata['http://fs.example.com/adfs/services/trust'] = array (
  'entityid' => 'http://fs.example.com/adfs/services/trust',
  'contacts' => 
  array (
  ),
  'metadata-set' => 'saml20-idp-remote',
  'SingleSignOnService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'SingleLogoutService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'ArtifactResolutionService' => 
  array (
  ),
  'keys' => 
  array (
    0 => 
    array (
      'encryption' => true,
      'signing' => false,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC3DCCA....',
    ),
    1 => 
    array (
      'encryption' => false,
      'signing' => true,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC1j....',
    ),
  ),
);

В правилах утверждений ADFS у меня есть «Разрешить доступ всем пользователям» и правило преобразования «E-Mail-Address -> Name ID»

Есть идеи, как поступить?

1 Ответ

2 голосов
/ 17 октября 2011

Фактическая проблема заключалась в том, что при настройке DNS-записей я создал CNAME fs.example.com для dc.exampledomain.com.После замены записи CNAME на запись A прошла аутентификация.

Это не решило весь вопрос, но ответило на застрявшую часть:)

Мне также нужно было установить SHA-1 в качестве безопасного алгоритма хешированиясвойства проверяющей стороны вместо SHA-256.

...