Поделиться через

Настройка AD FS v 2.0 в SharePoint Foundation 2010

  • Статья

 

Применимо к: SharePoint Foundation 2010

Последнее изменение раздела: 2016-11-30

В этой статье описываются процедуры настройки служб федерации Active Directory, версия 2.0 (AD FS), в Microsoft SharePoint Foundation 2010.

Можно использовать службы федерации Active Directory (AD FS) 2.0 с ОС Windows Server 2008 для построения федеративного решения для управления удостоверениями, расширяющего возможности распределенных служб идентификации, проверки подлинности и авторизации в веб-приложениях в масштабах организации и платформы. Путем развертывания AD FS 2.0 можно обеспечить использование возможностей Интернета в существующей системе управления удостоверениями в организации с учетом возможностей Интернета.

В этой статье AD FS v2 является поставщиком удостоверений, также известным как IP-STS (служба маркеров безопасности). AD FS предоставляет проверку подлинности на основе утверждений. Для начала AD FS необходимо настроить, используя данные о проверяющей стороне (в этом случае SharePoint Foundation 2010). В отношении Продукты Microsoft SharePoint 2013 для AD FS необходимо настроить доверие к службе маркеров безопасности поставщика удостоверений, который выполняет отправку сопоставлений на основе утверждений. И наконец, создается веб-приложение и семейство веб-сайтов, которые будут использовать уровень проверки подлинности на основе утверждений.

Примечание

Перед выполнением процедур, описанных в данной статье, необходимо установить и настроить сервер, на котором запущены федеративные службы Active Directory (AD FS) 2.0. Сведения о настройке сервера для запуска AD FS 2.0 см. в руководстве по развертыванию AD FS 2.0 (Возможно, на английском языке) (https://go.microsoft.com/fwlink/?linkid=191723&clcid=0x419) (Возможно, на английском языке).

В следующем видеоролике подробно демонстрируется настройка служб федерации Active Directory версии 2.0 в Microsoft SharePoint Foundation 2010.

Настройка служб федерации AD для сервера SharePoint Server 2010

Продолжительность: 9:43

Воспроизведение видео Посмотреть видеоролик "Настройка SharePoint Server 2010 с помощью надежных утверждений служб федерации Active Directory"

Загрузить видео Для оптимизации просмотра загрузите видеоролик "Настройка SharePoint Server 2010 с помощью надежных утверждений служб федерации Active Directory".

Щелкните ссылку правой кнопкой мыши и выберите команду Сохранить объект как, чтобы загрузить копию. При щелчке ссылки в проигрывателе по умолчанию в полноэкранном режиме откроется WMV-файл.

Содержание:

  • Настройка проверяющей стороны

  • Настройка правила утверждений

  • Экспорт сертификата для подписи маркера

  • Экспорт нескольких родительских сертификатов

  • Импорт сертификата для подписи маркеров с помощью Windows PowerShell

  • Определение уникального идентификатора для сопоставления утверждений с помощью Windows PowerShell

  • Создание нового поставщика проверки подлинности

  • Привязка веб-приложения к доверенному поставщику удостоверений

  • Создание семейства веб-сайтов

Примечание

Шаги, указанные в данной статье, необходимо выполнять по порядку.

Настройка проверяющей стороны

Используйте процедуру, описанную в данном разделе, для настройки проверяющей стороны. Проверяющая сторона определяет способ, которым AD FS распознает проверяющую сторону и создает утверждения для нее.

Настройка проверяющей стороны

  1. Убедитесь в том, что учетная запись пользователя, от имени которого выполняется процедура, принадлежит к группе "Администраторы" на локальном компьютере. Дополнительные сведения об учетных записях и членстве в группах см. в разделе Local and Domain Default Groups.

  2. Откройте консоль управления служб федерации Active Directory (AD FS) 2.0.

  3. В области слева разверните узел Отношения доверия и дважды щелкните папку Отношения доверия проверяющей стороны.

  4. В области справа щелкните Добавить отношение доверия для проверяющей стороны. Откроется мастер конфигурации федеративных служб Active Directory (AD FS) 2.0.

  5. На странице приветствия мастера добавления отношений доверия для проверяющей стороны щелкните Начать.

  6. Выберите Вручную ввести данные о проверяющей стороне и нажмите кнопку Далее.

  7. Введите имя принимающей стороны и нажмите кнопку Далее.

  8. Убедитесь в том, что выбран Профиль федеративных служб Active Directory (AD FS) 2.0, и нажмите Далее.

  9. Не используйте сертификат шифрования. Нажмите кнопку Далее.

  10. Щелкните, чтобы установить флажок Включить поддержку пассивного протокола WS-Federation.

  11. В поле URL-адрес пассивного протокола WS-Federation укажите имя URL-адреса веб-приложения и добавьте в конце /_trust/ (например, https://WebAppName/_trust/). Нажмите кнопку Далее.

    Примечание

    Имя URL-адреса должно использовать протокол SSL.

  12. Укажите имя идентификатора отношения доверия проверяющей стороны (например, urn:sharepoint:WebAppName) и нажмите Добавить. Нажмите кнопку Далее.

  13. Выберите Разрешить всем пользователям доступ к этой проверяющей стороне. Нажмите Далее.

  14. На странице "Готово к добавлению отношения доверия" не нужно выполнять никаких действий. Просто нажмите Далее.

  15. На странице завершения операции нажмите Закрыть. Консоль управления редактированием правил будет закрыта. Используйте эту консоль для настройки сопоставления утверждений из веб-приложения LDAP в SharePoint Foundation 2010.

Настройка правила утверждений

С помощью процедуры, описанной в этом шаге, можно отправлять значения атрибута протокола LDAP в виде утверждений и определять способы сопоставления атрибутов с типом исходящих утверждений.

Настройка правила утверждений

  1. Убедитесь в том, что учетная запись пользователя, от имени которого выполняется процедура, принадлежит к группе "Администраторы" на локальном компьютере. Дополнительные сведения об учетных записях и членстве в группах см. в разделе Local and Domain Default Groups.

  2. На вкладке Правила преобразования выдачи выберите Добавить правило.

  3. На странице "Выбор шаблона правила" выберите Отправлять атрибуты LDAP в виде утверждений. Нажмите Далее.

  4. На странице "Настройка правила" введите имя правила утверждений в поле Имя правила утверждений.

  5. В раскрывающемся списке Хранилище атрибутов выберите Active Directory.

  6. В разделе Сопоставление атрибутов LDAP с типами исходящих утверждений на вкладке Атрибут LDAP выберите Адреса электронной почты.

  7. В разделе Тип исходящего утверждения выберите Адрес электронной почты.

  8. На вкладке Атрибут LDAP выберите Группы маркеров – неизвестные имена

  9. В разделе Тип исходящего утверждения выберите Роль.

  10. Нажмите Готово, а затем — ОК.

Экспорт сертификата для подписи маркера

С помощью процедуры, описанной в этом разделе, можно экспортировать сертификат для подписи маркера сервера AD FS, с которым необходимо установить отношения доверия, и затем скопировать сертификат в расположение, доступное для SharePoint Foundation 2010.

Действия для экспорта сертификата для подписи маркера

  1. Убедитесь в том, что учетная запись пользователя, от имени которого выполняется процедура, принадлежит к группе "Администраторы" на локальном компьютере. Дополнительные сведения об учетных записях и членстве в группах см. в разделе Local and Domain Default Groups.

  2. Откройте консоль управления служб федерации Active Directory (AD FS) 2.0.

  3. В области слева разверните узел Служба и щелкните папку Сертификаты.

  4. В разделе Подпись маркера щелкните сертификат основного маркера, указанного в столбце "Основные".

  5. В области справа щелкните Просмотр ссылки на сертификат. Отобразятся свойства сертификата.

  6. Щелкните вкладку Подробно.

  7. Нажмите Копировать в файл. Откроется мастер экспорта сертификатов.

  8. На странице "Мастер экспорта сертификатов" нажмите кнопку Далее.

  9. На странице "Экспортирование закрытого ключа" выберите Не экспортировать закрытый ключ и щелкните Далее.

  10. На странице "Формат экспортируемого файла" выберите Файлы в DER-кодировке X.509 (.CER) и выберите Далее.

  11. На странице "Экспортируемый файл" укажите имя и расположение файла, который необходимо экспортировать, после чего нажмите Далее. Например, C:\ADFS.cer.

  12. На странице "Завершение работы мастера экспорта сертификатов" нажмите кнопку Готово.

Экспорт нескольких родительских сертификатов

Для завершения настройки сервера AD FS скопируйте файл с расширением CER на компьютер, где запущена служба AD FS.

В цепочке сертификатов для подписи маркера может содержаться один или несколько родительских сертификатов. В этом случае каждый сертификат в такой цепочке следует добавить в список SharePoint Foundation доверенных корневых центров.

Чтобы выявить наличие одного или нескольких родительских сертификатов, выполните следующие действия.

Примечание

Эти шаги необходимо выполнять до тех пор, пока все сертификаты не будут экспортированы в сертификат корневого центра сертификации.

Экспорт нескольких родительских сертификатов

  1. Убедитесь в том, что учетная запись пользователя, от имени которого выполняется процедура, принадлежит к группе "Администраторы" на локальном компьютере. Дополнительные сведения об учетных записях и членстве в группах см. в разделе Local and Domain Default Groups.

  2. Откройте консоль управления служб федерации Active Directory (AD FS) 2.0.

  3. В области слева разверните узел Служба и щелкните папку Сертификаты.

  4. В разделе Подпись маркера щелкните сертификат основного маркера, указанного в столбце "Основные".

  5. В области справа щелкните Просмотр ссылки на сертификат. Отобразятся свойства сертификата.

  6. Перейдите на вкладку Сертификация.

    Отобразятся все остальные сертификаты в цепочке.

  7. Щелкните вкладку Подробно.

  8. Нажмите Копировать в файл. Откроется мастер экспорта сертификатов.

  9. На странице "Мастер экспорта сертификатов" нажмите кнопку Далее.

  10. На странице "Экспортирование закрытого ключа" выберите Не экспортировать закрытый ключ и щелкните Далее.

  11. На странице "Формат экспортируемого файла" выберите Файлы в DER-кодировке X.509 (.CER) и выберите Далее.

  12. На странице "Экспортируемый файл" укажите имя и расположение файла, который необходимо экспортировать, после чего нажмите Далее. Например, C:\ADFS.cer.

  13. На странице "Завершение работы мастера экспорта сертификатов" нажмите кнопку Готово.

Импорт сертификата для подписи маркера с помощью Windows PowerShell

С помощью этого раздела можно импортировать сертификаты для подписи маркеров в список доверенных корневых центров сертификации, размещенных на сервере SharePoint. Этот этап необходимо выполнять для каждого сертификата для подписи маркеров в цепочке, пока не будет достигнут корневой центр сертификации.

Действия для импорта сертификата для подписи маркера с помощью Windows PowerShell

  1. Убедитесь в соответствии следующим минимальным требованиям: См. статью Add-SPShellAdmin.

  2. В меню Пуск выберите пункт Все программы.

  3. Выберите пункт Продукты Microsoft SharePoint 2010.

  4. Щелкните компонент Командная консоль SharePoint 2010.

  5. В командной строке Windows PowerShell импортируйте родительский сертификат сертификата для подписи маркера (то есть, сертификат корневого центра сертификации), как показано в следующем примере кода:

    $root = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("C:\adfsParent.cer")

New-SPTrustedRootAuthority -Name "Token Signing Cert Parent" -Certificate $root

  6. В командной строке Windows PowerShell импортируйте сертификат для подписи маркера, который скопирован с сервера AD FS, как показано в следующем примере кода:

    $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("C:\adfs.cer ")

New-SPTrustedRootAuthority -Name "Token Signing Cert" -Certificate $cert

Дополнительные сведения о командлете New-SPTrustedRootAuthority см. в разделе New-SPTrustedRootAuthority

Определение уникального идентификатора для сопоставления утверждений с помощью Windows PowerShell

С помощью процедуры, представленной в этом разделе, можно определить уникальный идентификатор для сопоставления утверждений. Как правило, эти данные представлены в виде адреса электронной почты. Эти данные предоставляются администратором доверенной службы маркеров безопасности, так как только владелец службы маркеров безопасности знает, какой тип утверждения будет всегда уникальным для каждого из пользователей.

Порядок определения уникального идентификатора для сопоставления утверждений с помощью Windows PowerShell

  1. Убедитесь в соответствии следующим минимальным требованиям: См. статью Add-SPShellAdmin.

  2. В меню Пуск выберите пункт Все программы.

  3. Выберите пункт Продукты Microsoft SharePoint 2010.

  4. Щелкните компонент Командная консоль SharePoint 2010.

  5. В командной строке Windows PowerShell создайте сопоставление утверждения удостоверения, как показано в следующем примере кода:

    $map = New-SPClaimTypeMapping -IncomingClaimType "https://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" -IncomingClaimTypeDisplayName "EmailAddress" -SameAsIncoming

  6. В командной строке Windows PowerShell создайте сопоставление утверждения роли, как показано в следующем примере кода:

    $map2 = New-SPClaimTypeMapping -IncomingClaimType "https://schemas.microsoft.com/ws/2008/06/identity/claims/role" -IncomingClaimTypeDisplayName "Role" -SameAsIncoming

Дополнительные сведения о командлете New-SPClaimTypeMapping см. в разделе New-SPClaimTypeMapping

Создание нового поставщика проверки подлинности

Используйте процедуру, описанную в данном разделе, для создания нового SPTrustedIdentityTokenIssuer.

Порядок создания новой службы проверки подлинности с помощью Windows PowerShell

  1. Убедитесь в соответствии следующим минимальным требованиям: См. статью Add-SPShellAdmin.

  2. В меню Пуск выберите пункт Все программы.

  3. Выберите пункт Продукты Microsoft SharePoint 2010.

  4. Щелкните компонент Командная консоль SharePoint 2010.

  5. В командной строке Windows PowerShell создайте новую службу проверки подлинности, как показано в следующем примере.

    Примечание

    Переменная $realm определяет доверенную службу маркеров безопасности, которая идентифицирует отдельную ферму SharePoint; переменная $cert используется в разделе Импорт сертификата для подписи маркеров с помощью Windows PowerShell. Параметр SignInUrl присваивается для сервера AD FS.

    $realm = "urn:sharepoint:WebAppName"

$ap = New-SPTrustedIdentityTokenIssuer -Name "SAML Provider" -Description "SharePoint secured by SAML" -realm $realm -ImportTrustCertificate $cert -ClaimsMappings $map,$map2 -SignInUrl "https://congen1.contoso.local/adfs/ls" -IdentifierClaim "https://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"

Дополнительные сведения о командлете New-SPTrustedIdentityTokenIssuer см. в разделе New-SPTrustedIdentityTokenIssuer

Привязка веб-приложения к доверенному поставщику удостоверений

Чтобы настроить существующее веб-приложение для использования входа SAML, необходимо изменить доверенного поставщика удостоверений в разделе "Тип проверки подлинности утверждений".

Настройка существующего веб-приложения для использования поставщика SAML

  1. Убедитесь, что учетная запись пользователя, применяемая для выполнения данной процедуры, является участником группы администраторов фермы SharePoint.

  2. На домашней странице центра администрирования выберите элемент Управление приложениями.

  3. На странице "Управление приложениями" в разделе Веб-приложения нажмите Управление веб-приложениями.

  4. Щелкните для выбора нужного веб-приложения.

  5. На ленте щелкните Поставщики проверки подлинности.

  6. В разделе Зона щелкните имя зоны. Например, зона "По умолчанию".

  7. На странице Изменение параметров проверки подлинности в разделе Типы проверки подлинности утверждений щелкните, чтобы установить флажок напротив имени нового доверенного поставщика удостоверений.

Сведения о создании веб-приложения и его настройке для использования входа SAML см. в разделе Создание нового веб-приложения SharePoint и его настройка для использования входа SAML.

Создание семейства веб-сайтов

На последнем этапе необходимо создать семейство веб-сайтов SharePoint и назначить владельца. Обратите внимание, что при добавлении администратора семейства веб-сайтов необходимо указать имя в формате утверждения удостоверения. Например, в этой статье утверждение удостоверения является адресом электронной почты. Дополнительные сведения см. в разделе Создание семейства сайтов (SharePoint Foundation 2010).