Salesforce SSO 使用 ADFS 为 AD 中的特定用户组设置

Question

所以这是我的两难境地或有点悬而未决的问题。

我设置了一个场景，即我使用 ADFS 证书在 Salesforce 上启用了 SSO，但目前所有用户都可以使用 SSO 访问 Salesforce。我想将 SSO 限制为仅三个组“AD 中定义的用户组”，以便成为唯一能够在 salesforce 中使用 SSO 的组。

我知道我需要委派访问权限，但不确定我是否需要在 ADFS 端或 salesforce 端执行此操作....然后将生成的 XML 导入 ADFS。

任何帮助将不胜感激。

搜索网络和此表单后，我意识到有一个委托身份验证，我可能需要安装一个委托身份验证 WSDL，不确定此步骤对于 ADFS 3.0 是否必要。

许多人似乎都指向使用 Delegated Authentication ，但我想知道是否有任何方法可以使用 adfs 服务器上的索赔票证来获得相同的功能。

再次感谢您:)

Answer 1

您似乎描述了通过 AD FS 授权规则可行的事情。阅读https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/technical-reference/when-to-use-an-authorization-claim-rule

基本上，您所做的是在 AD FS 中对 Salesforce 的依赖方，您创建授权规则以根据 AD 组成员身份允许/拒绝。因此，如果用户在组中，AD FS 会发出令牌。如果没有，他们会得到拒绝，这意味着没有允许访问 Salesforce 的令牌。

另请参阅https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/operations/access-control-policies-in-ad-fs，因为根据您的 AD FS 版本，您可以通过访问控制策略而不是颁发授权规则来执行此操作。