Можно ли изменить ADFS для использования учетных данных NTLM, если они есть, для аутентификации пользователя?

Question

Мы используем CRM 2011 с ADFS 2.0.Наши пользователи хотели бы, чтобы один URL использовался как для внутренних, так и для внешних пользователей, но с настройкой IFD в CRM 2011 это невозможно, если мы также хотим использовать автоматический вход через учетные данные NTLM пользователей.Можно ли изменить страницу входа в ADFS, чтобы определить, присутствуют ли учетные данные NTLM и находятся ли они в правильном домене, и если это так, автоматически регистрировать пользователя и перенаправлять его обратно в приложение с правильными токенами ADFS?

Есть лиДостаточно ли площади API и правильных типов для нас, чтобы изменить страницу входа в систему таким образом, или API билета закрыто до такой степени, что мы не могли сделать это программно?

Комментарий: мы знаем, что используяUAG SP1. Мы можем принудительно выполнить вход в ADFS с учетными данными NTLM, но наш клиент не планирует развертывание UAG в ближайшее время.

Answer 1

Ваш вопрос мне не совсем понятен, но в любом случае здесь может быть ответ.

Как описано на странице Обзор обработчика аутентификации , в AD FS 2.0 есть парамеханизмов аутентификации.Какой из них выбран, определяется на основании того, что «запрос аутентификации позволяет».Речь идет не о HTTP-запросе от браузера пользователя, а о запросе входа от проверяющей стороны (CRM 2011 в вашем случае).И здесь нет отступления: для каждого из четырех обработчиков «вызвано [I] f, он не передает запрос следующему обработчику».

Так, например, еслизапрос входа WS-Federation из CRM в AD FS (отправленный через браузер) говорит, что встроенная проверка подлинности Windows подходит, и если у вас встроенный обработчик в верхней части списка <localAuthenticationTypes>, то IWA всегда используется дляаутентификация пользователя (например, NTLM или Kerberos, в зависимости от возможностей браузера / сервера).Неважно, является ли пользователь «внутренним» или «внешним».

Хотите ли вы использовать разные методы аутентификации для разных пользователей?Если это так, то единственный способ повлиять на выбранный метод аутентификации заключается в источнике: теоретически CRM может адаптировать свой запрос аутентификации на основе некоторой информации от пользователя или браузера пользователя.Если CRM основан на WIF, вы можете выполнить запрос в WSFederationAuthenticationModule.RedirectingToIdentityProvider Event .Коллеги успешно выполняли обработку запросов на вход WIF в SharePoint, используя этот механизм.

Вы всегда хотите тихий вход (в отличие от получения диалогового окна учетных данных Windows из браузера)?По нашему опыту, существует множество причин, по которым согласование IWA может не убедить сервер в том, что учетные данные Windows клиента действительно действительны, что заставляет браузер явно запрашивать учетные данные.Наиболее очевидная причина в том, что браузер не может получить доступ к AD сервера, но есть и другие.