Einrichten einer Vertrauensstellung zwischen Shibboleth und Azure AD

Aktualisiert: 25. Juni 2015

Gilt für: Azure, Office 365, Power BI, Windows Intune

Azure AD-Domänen werden mithilfe des Microsoft Azure Active Directory-Moduls für Windows PowerShell verbunden. In diesem Thema führen Sie eine Reihe von Cmdlets in der Windows PowerShell-Befehlszeilenschnittstelle aus, um Domänen für einmaliges Anmelden hinzuzufügen oder zu konvertieren.

Von Bedeutung

Bevor Sie die Anweisungen in diesem Thema ausführen können, müssen Sie die Schritte unter Installieren von Windows PowerShell für einmaliges Anmelden mit Shibboleth überprüfen und ausführen.

Jede Active Directory-Domäne, die Sie mithilfe von Shibboleth verbinden möchten, muss entweder als Single Sign-On-Domäne hinzugefügt oder in eine Single Sign-On-Domäne aus einer Standarddomäne konvertiert werden. Durch das Hinzufügen oder Konvertieren einer Domäne wird eine Vertrauensstellung zwischen dem Shibboleth-Identitätsanbieter und Azure Active Directory eingerichtet.

Das folgende Verfahren führt Sie durch das Konvertieren einer vorhandenen Standarddomäne in eine Verbunddomäne.

1. Öffnen Sie das Microsoft Azure Active Directory-Modul.

2. Führen Sie $cred=Get-Credential aus. Wenn Sie vom Cmdlet zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie die Anmeldeinformationen für das Administratorkonto Ihres Clouddiensts ein.

3. Führen Sie Connect-MsolService –Credential $cred aus. Dieses Cmdlet stellt eine Verbindung mit Azure AD her. Das Erstellen eines Kontexts, der Sie mit Azure AD verbindet, ist erforderlich, bevor Sie eines der zusätzlichen Cmdlets ausführen, die vom Tool installiert werden.

4. Führen Sie die folgenden Befehle aus, um eine vorhandene Domäne (in diesem Beispiel mail.contoso.com) für einmaliges Anmelden zu konvertieren:

   $dom = "mail.contoso.com”
   $url = "https://idp.contoso.com/idp/profile/SAML2/POST/SSO"
   $ecpUrl = "https://idp.contoso.com/idp/profile/SAML2/SOAP/ECP"
   $uri = "https://idp.contoso.com/idp/shibboleth"
   $logouturl = "https://idp.contoso.com/logout/" 
   $cert = "MIIFYzCCBEugAw...2tLRtyN"
   
   Set-MsolDomainAuthentication –DomainName $dom -FederationBrandName $dom -Authentication Federated  -PassiveLogOnUri $url -SigningCertificate $cert -IssuerUri $uri -ActiveLogOnUri $ecpUrl -LogOffUri $logouturl -PreferredAuthenticationProtocol SAMLP
   

   Hinweis

   Sie dürfen nur ausführen $ecpUrl = https://idp.contoso.com/idp/profile/SAML2/SOAP/ECP , wenn Sie die ECP-Erweiterung Shibboleth Identity Provider eingerichtet haben. Obwohl es sich um einen optionalen Schritt handelt, wird empfohlen, die ECP-Erweiterung Shibboleth Identity Provider zu installieren, damit Single Sign-On mit einem Smartphone, Microsoft Outlook oder anderen Clients funktioniert. Weitere Informationen finden Sie unter "Optional: Installieren der Shibboleth ECP-Erweiterung" in Konfigurieren von Shibboleth für die Verwendung mit Single Sign-On.

Siehe auch

Konzepte

Installieren von Windows PowerShell für einmaliges Anmelden mit Shibboleth
Verwenden des Shibboleth-Identitätsanbieters zum Implementieren von Single Sign-On