Как да настроя simplesamlphp да използва ADFS 2 като idp

Опитвам се да накарам simplesamlphp 1.8 да използва ADFS 2 като IdP.

Сега съм сериозно блокиран, когато получавам диалоговия прозорец за NTLM удостоверяване на браузъра, който не приема никакво влизане (след избиране на „Тестване на източници за удостоверяване“ -> „default-sp“).

В config/config.php

'default-sp' => array(
        'saml:SP',
        'privatekey' => 'saml.pem',
        'certificate' => 'saml.crt',
        'idp' => 'http://fs.example.org/adfs/services/trust',
    ),

В metadata/saml20-idp-remote.php (Преобразувано от https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml с /admin/metadata-converter.php)

    $metadata['http://fs.example.com/adfs/services/trust'] = array (
  'entityid' => 'http://fs.example.com/adfs/services/trust',
  'contacts' => 
  array (
  ),
  'metadata-set' => 'saml20-idp-remote',
  'SingleSignOnService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'SingleLogoutService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'ArtifactResolutionService' => 
  array (
  ),
  'keys' => 
  array (
    0 => 
    array (
      'encryption' => true,
      'signing' => false,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC3DCCA....',
    ),
    1 => 
    array (
      'encryption' => false,
      'signing' => true,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC1j....',
    ),
  ),
);

В ADFS Claim Rules имам „Разрешаване на достъп до всички потребители“ и правило за трансформиране „E-Mail-Address -> Name ID“

Някакви идеи как да продължа?


php federated-identity saml saml-2.0 adfs2.0
person borobax    schedule 14.10.2011    source източник
comment
Настроихте ли simpleSAML като доставчик на искове или разчитаща страна в ADFS? Какъв URL адрес използвахте за адреса на метаданни за обединяване на simpleSAML?   -  person rbrayb    schedule 12.04.2012

Отговори (1)


arrow_upward
2
arrow_downward

Действителният проблем беше в това, че докато задавах DNS записи, създадох CNAME fs.example.com към dc.exampledomain.com. След замяната на записа CNAME на запис A удостоверяването премина.

Това не реши целия въпрос, но отговори на засядащата част :)

Също така трябваше да задам SHA-1 като защитен хеш алгоритъм в свойствата на разчитащата страна вместо SHA-256.

person borobax    schedule 17.10.2011