通过 SamAccountName 名称 ID 将 AD FS 3.0 连接到 Shibboleth答案

【问题标题】：Connect AD FS 3.0 to Shibboleth via SamAccountName Name ID通过 SamAccountName 名称 ID 将 AD FS 3.0 连接到 Shibboleth
【发布时间】：2017-11-14 16:34:53
【问题描述】：

我需要将 AD FS 3.0 身份提供者 (idP) 连接到我无法控制的 Shibboleth 服务提供者/依赖方。不幸的是，AD FS 和 Shibboleth 并没有完全使用相同的声明/属性格式。

网上有很多关于此的信息，并且需要两条规则（一条从 Active Directory 中检索值，一条将其转换为匹配 Shibboleth 的预期），但其中大部分是书面的对于 AD FS 2.0 或使用电子邮件地址作为名称 ID（我真的需要 SamAccountName）。

如何让我的 AD FS idP 使用 Shibboleth 接受的 windows-account-name 生成声明？

【问题讨论】：

标签： active-directory adfs shibboleth adfs3.0

【解决方案1】：

我终于在这里找到了答案：

https://cccnext.jira.com/wiki/spaces/CSF/pages/147817839/Attributes+for+the+Proxy+AD+FS

该链接列出了许多 Active Directory 字段的自定义规则对，包括 SamAccountName / windows-account-name。

我使用的规则是这样的：

@Rulename="Get sAMAaccountName"

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
 => add(store = "Active Directory", types = ("urn:oid:1.2.840.113556.1.4.221"), query = ";sAMAccountName;{0}", param = c.Value);

@Rulename="Convert sAMAccountName / uid xml"

c:[Type == "urn:oid:1.2.840.113556.1.4.221"]
 => issue(Type = "urn:oid:0.9.2342.19200300.100.1.1", Value = c.Value, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri");

这些是 PowerShell 脚本的一部分，但您可以通过 AD FS 界面添加自定义声明规则来添加它们。

这可能仍需要在 Shibboleth 端进行更改。在我走到这一步之前，另一端的服务技术人员报告说看到了被排除的属性，并进行了更改以允许该属性。然而，那是一套不同的规则。我不知道这套规则是否利用了这一变化。

【讨论】：