Przejrzyste logowanie jednokrotne z uwierzytelnianiem SAML (IE, SAML 2.0, ADFS, uwierzytelnianie Kerberos)

Question

Konfiguracja: ADFS 2.0 jako IdP (obsługiwane są oba rozwiązania WS-Federation i SAML 2.0), aplikacja ASP.NET jako dostawca usług. Gdy SPS żąda programu ADFS ze standardem WS-Federation (używany WIF), pozwala mi automatycznie logować się do ADFS bez okna wyskakującego, nawet jeśli została uruchomiona nowa sesja, więc token Kerberos wykonuje swoją pracę zgodnie z oczekiwaniami. Jednak w przypadku SAML 2.0 (używana jest biblioteka ComponentSpace.SAML.2) za każdym razem, gdy uruchamiam IE9 i przekierowuję do ADFS, proszono mnie o wpisanie referencji mojej domeny systemu Windows w standardowym małym wyskakującym oknie logowania. Czy jakikolwiek parametr SAML 2.0 lub inna technika pozwala mi pozbyć się tego okna jak w przypadku WS-Fed? Dzięki

Answer 1

adfsserver.us.mycompanyname.com/adfs/ls znajduje się w strefie Internet i automatyczne logowanie się nie odbędzie.

adfsserver/adfs/ls znajduje się w twojej strefie intranetowej w IE i zaloguje się automatycznie.

Możesz dodać adres adfsserver.us.mycompanyname.com do listy witryn zaufanych (lub stref intranetowych) i nie powinieneś otrzymywać monitu o poświadczenia.

Answer 2

Spróbuj: urn:federation:authentication:windows zamiast: urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport w tej części żądania uwierzytelnienia 2,0 SAML:

<saml:AuthnContextClassRef xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">urn:federation:authentication:windows</saml:AuthnContextClassRef>

Answer 3

To nie jest odpowiedź, to raczej aktualizacji na moje pytanie, ale ważne i postanowiłem ująć go jako odpowiedź, aby przyciągnąć do niego więcej uwagi. Czego się nauczyłem, bawiąc się parametrami SAML przez kilka dni, wydaje się, że nie zależy to od protokołu (WS-Federation/SAML2). To, czego tak naprawdę zależy, to długa/krótka nazwa domeny serwera adfs, aby żądanie uwierzytelnienia, takie jak https://adfsserver.us.mycompanyname.com/adfs/ls, powodowało wyświetlenie tego okna, podczas gdy https://adfsserver/adfs/ls nie. Jednak nie mogę używać krótkiej nazwy domeny dla SAML 2.0, otrzymuję komunikat o błędzie: "MSIS1006: skonfigurowany pasywny punkt końcowy" https://adfsserver.us.mycompanyname.com/adfs/ls/ "nie jest prefiksem przychodzącego komunikatu SAML Docelowy identyfikator URI "https: // adfsserver/adfs/ls /" ". BTW, używamy SSO tylko w naszym lokalnym intranecie, więc nie wiem, dlaczego ten wyjątek się pojawia. Jakiekolwiek obejście?

Answer 4

można zmienić pasywnego serwera końcowego następujących kroków wymienionych poniżej:

http://breakingdevelopment.blogspot.in/2012/12/adfs-msis1006-i-am-working-on-sso.html

1. Otwórz Menedżer usługi ADFS 2.0
2. "EDIT Properties usługa federacyjna ..." w prawym górnym rogu. Pojawi się okno Właściwości usługi federacyjnej
3. Zmień identyfikator usługi federacyjnej, aby pasował do adresu dostawcy tożsamości (IdPURL) przekazanego z aplikacji logowania jednokrotnego.