实战:ADFS3.0单点登录系列-集成SharePoint
这是本系列第四篇了,终于轮到SharePoint上场了,但是本文不会过多讲解SharePoint安装等话题,而是直入主题,讲解如何进行配置,让其于ADFS配合完成SSO的工作。
注意:本文使用的SharePoint为2013版。
本系列导航
实战:ADFS3.0单点登录系列-自定义ADFS样式
实战:ADFS3.0单点登录系列-问题汇总
一 SharePoint端的配置
1.在ADFS服务器,打开ADFS管理工具,定位到证书,将令牌签名证书导出。并拷贝到SharePoint服务器。
2.打开SharePoint命令行管理工具,并非是windows的的powershell
3.执行如下命令
$cert = New-Object System.Security.Cryptography.x509Certificates.x509Certificate2 ("c:\ADFS.cer")
New-SPTrustedRootAuthority -Name "Token Signing Cert" -Certificate $cert (Name可以随意)
$upnClaimMap = New-SPClaimTypeMapping -IncomingClaimType "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn" -IncomingClaimTypeDisplayName "UPN" -SameAsIncoming(定义UPN声明类型)
$emailClaimMap= New-SPClaimTypeMapping -IncomingClaimType "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"-IncomingClaimTypeDisplayName "EmailAddress" –SameAsIncoming(定义Email声明类型)
$realm = "urn:sharepoint:ql" (设置标识符,sharepoint提供给ADFS的唯一身份认证)
$signInURL = "https://xtcs-validate.test.com/adfs/ls" (adfs登录地址)
$ap = New-SPTrustedIdentityTokenIssuer -Name "TCSCD Provider for SharePoint" -description “SAML secured SharePoint" -realm $realm -ImportTrustCertificate $cert -ClaimsMappings $emailClaimMap, $upnClaimMap -SignInURL $signInURL -IdentifierClaim $upnClaimMap.InputClaimType
(Name可以随意命名,描述也可随意命名)
注意:
l 如果需要修改证书信任,则先删除
Remove-SPTrustedRootAuthority -Identity " Token Signing Cert"
l 如果需要修改tokenissuer:则先删除
Remove-SPTrustedIdentityTokenIssuer -Identity " TCSCD Provider for SharePoint "
否则会出现如下错误:
“ADFS new-sptrustedIdentityTokenIssuer:the trust provider certificate already exist”
二 ADFS配置
1.在ADFS服务器,打开ADFS管理控制台,并定位到信任关系->信赖方信任
2.点击“添加信赖方信任”
3.选择“手动输入有关信赖方的数据"
4.输入名称和描述
5.选择“ADFS配置文件”,下面的是ADFS1.0和2.0使用的配置文件。
6.配置证书,默认即可,后面会讲解如何对证书进行单独的修改。
7.选择“启用对ws-federation的被动协议支持”,URL必须是https://sharepoint应用程序地址/_trust/的形式。例如:https://sso-sp.tt.com/_trust/。
8.配置标识符,格式“urn:xxx:xx”,和1.3中的$realm设置相同
9.立即启用多重身份验证,保持默认
10.选择授权规则,选择“允许所有用户访问此信赖方”
11.完成并打开”编辑声明规则“对话框
12.添加声明规则,以声明形式发送LDAP特性
13.填入名称,并选择UPN和Email和之前SharePoint命令行工具中设置的声明相对应
14.完成
三 配置SharePoint使用前面创建的自定义STS
1.Sharepoint管理中心>应用程序管理>管理web应用程序>选中需要配置的web应用程序>身份验证提供程序
2.修改身份提供程序:点击默认->编辑验证>选中信任的身份提供程序>选中之前注册的信任的身份验证提供程序->保存,本例中为
TSCCD Provider for SharePoint
3.修改SharePoint网站集管理员为UPN格式:Sharepoint管理中心>应用程序管理>网站集>修改网站集管理员
四 验证
直接在浏览器输入SharePoint应用程序地址,检查是否跳转至ADFS登录页面
至此,sharepoint成功与ADFS结合,并且使用ADFS的登录替换掉了SharePoint自带的弹出框身份认证。
注意:本例中SharePoint需要配置为使用SSL的形式。
原文链接:http://www.cnblogs.com/hudun/p/5916152.html