实战:ADFS3.0单点登录系列-集成MVC
本文将讲解如何让MVC应用程序与ADFS集成,完成认证的过程。
目录:
实战:ADFS3.0单点登录系列-自定义ADFS样式
实战:ADFS3.0单点登录系列-问题汇总
一.配置ADFS
步骤基本与上一篇相同,只是在添加转换声明规则向导的时候有细微差别,根据实际情况,声明映射有差别,我这里使用upn映射到名称。
在MVC应用程序中,使用httpContext.User.Identity.Name可以获取登录人的信息,当然是xxx@domain.com的形式。关于如何添加其他信息的映射,例如真实姓名等,有需要在后续章节会介绍。
二 MVC应用程序中的配置
这里会介绍两种方式(我这里使用的VS2013),两种方法分别适用于不同的场景:
方案一适用于新建的应用程序(前提是已经有了ADFS环境)
方案二适用于已经存在的项目。
方案一:自动感知方式
1.打开VS,点击新建项目,并创建MVC应用程序
2.依次点击更改身份验证->组织账户—>本地
在本地颁发机构输入ADFS元数据地址,格式为:
https://{ FQDN}/ FederationMetadata/2007-06/FederationMetadata.xml
例如:https://sts.tt.com/FederationMetadata/2007-06/FederationMetadata.xml
,应用ID Uri可空,待正式部署时进行修改。
点击保存之后,VS会自动将需要的配置(web.config)和DLL进行修改和加载。
方案二:手动配置方案
1.<configSections>节点下增加配置项:
<section name="system.identityModel" type="System.IdentityModel.Configuration.SystemIdentityModelSection, System.IdentityModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089" />
<section name="system.identityModel.services" type="System.IdentityModel.Services.Configuration.SystemIdentityModelServicesSection, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=B77A5C561934E089" />
2.<appSettings>节点下增加配置项:
<add key="ida:FederationMetadataLocation" value="https://sts(ADFS地址)/FederationMetadata/2007-06/FederationMetadata.xml" />
<add key="ida:Realm" value="https://xxxxx/(应用程序地址)" />
<add key="ida:AudienceUri" value="https://xxxxx/(应用程序地址)" />
3.<system.web>节点下增加和修改配置项:
<authentication mode="None" />
<authorization>
<deny users="?" />
</authorization>
4.<system.webServer>节点下增加和修改配置项:
<modules>
<add name="WSFederationAuthenticationModule" type="System.IdentityModel.Services.WSFederationAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" preCondition="managedHandler" />
<add name="SessionAuthenticationModule" type="System.IdentityModel.Services.SessionAuthenticationModule, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" preCondition="managedHandler" />
</modules>
5.</configuration>之前增加配置节
<system.identityModel>
<identityConfiguration>
<audienceUris>
<add value="https://localhost:44300/" />
</audienceUris>
<securityTokenHandlers>
<add type="System.IdentityModel.Services.Tokens.MachineKeySessionSecurityTokenHandler, System.IdentityModel.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" />
<remove type="System.IdentityModel.Tokens.SessionSecurityTokenHandler, System.IdentityModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" />
</securityTokenHandlers>
<certificateValidation certificateValidationMode="None" />
<issuerNameRegistry type="System.IdentityModel.Tokens.ValidatingIssuerNameRegistry, System.IdentityModel.Tokens.ValidatingIssuerNameRegistry">
<authority name="http://ADFS/adfs/services/trust">
<keys>
<add thumbprint="6DBC99C8BFB07435495849EC538E8A54A5587963" />(这里的证书指纹为ADFS令牌签名证书的指纹)
</keys>
<validIssuers>
<add name="http://ADFS/adfs/services/trust" />
</validIssuers>
</authority>
</issuerNameRegistry>
</identityConfiguration>
</system.identityModel>
<system.identityModel.services>
<federationConfiguration>
<cookieHandler requireSsl="true" />
<wsFederation passiveRedirectEnabled="true" issuer="https://ADFS/adfs/ls/" realm="https://xxx/" requireHttps="true" />
</federationConfiguration>
</system.identityModel.services>
6.dll引用
1)Web项目右键 添加引用 找到system.identityModel和system.identityMoel.services并选择确认
2)Nugget方式添加System.IdentityModel.Tokens.ValidatingIssuerNameRegistry
这样就手动完成了整个的配置过程。主要是对web.config进行修改的对dll的引用。
注意事项:
如果遇到这个错误:
解决方案:
在Global.asax中的 Application_Start()方法中增加如下代码:
AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.Name;
意思是告诉MVC,使用的声明类型是 Name。
如遇到如下错误:
Cookie加解密错误,尝试使用ProtectedData API解密Cookie出现错误
解决方案:
这个错误是因为多个应用程序都使用了默认的cookieName,因此只需要将不同应用程序的cookiehandler配置节配置为不同的名称即可。
如果遇到如下错误:
解决方案:
这个错误是由于未正确配置指纹导致的,需要使用的是ADFS令牌签名证书的指纹,按如下步骤找到正确的证书指纹即可。
原文地址:http://www.cnblogs.com/hudun/p/5919630.html