Configuración de Servicios de Federación de Active Directory Mediante WS-Federation¶

Vinyl puede integrarse con los Servicios de federación de Active Directory (AD FS) mediante el protocolo WS-Federation Passive. El protocolo WS-Federation Passive define los siguientes roles operativos:

La configuración implica los siguientes procedimientos:

1. Cree un proveedor de seguridad Vinyl para AD FS
2. Crear una confianza de usuario de confianza de AD FS para Vinyl

Requisitos¶

Para continuar, necesitará lo siguiente:

• Acceso de administrador a AD FS.
• Acceso de administrador a Vinyl.
• Vinyl deberá conectarse a AD FS a través de HTTPS para recuperar el documento de metadatos. AD FS debe usar un certificado TLS con una raíz confiable: Vinyl no podrá recuperar el documento de metadatos si el certificado no es confiable o no es válido.
• El Vinyl deberá estar disponible a través de HTTPS. Se debe habilitar el proveedor de seguridad Requerir HTTPS (u otras medidas tomadas para garantizar que solo se pueda acceder a Vinyl a través de HTTPS).
• Las máquinas cliente deberán configurarse para confiar en AD FS. De lo contrario, AD FS solicitará al usuario que inicie sesión.

Las instrucciones siguientes se referirán a las siguientes propiedades:

Crear un Proveedor de Seguridad de Vinyl para AD FS¶

Para crear el proveedor de seguridad, comience iniciando sesión en Vinyl como administrador:

1. Navegue hasta IDE
2. Seleccione el botón Proveedores de seguridad
3. En el panel Autenticación de usuario, haga clic en el botón + Autenticación de usuario

4. Proporcione lo siguiente:

   • Nombre: Security Provider Name (véase más arriba)

     Ejemplo: EjemploADFS

   • Tipo: WS-Federación

   • Habilitado: Verificar
   • Aprovisionamiento de usuarios: marque esta opción para habilitar el aprovisionamiento de usuarios Just-in-Time (JIT).
   • Membresía del grupo de suministros: compruebe si AD FS se ha configurado para pasar la membresía del grupo de usuarios.
   • Mostrar en el formulario de inicio de sesión: Verificar

5. Haga clic en el botón Guardar

6. En el panel Propiedades, haga clic en el botón + Propiedad

7. Proporcione lo siguiente:

   • Parámetro: Dirección de metadatos

   • Valor: Federation Metadata Document URL (véase más arriba).

     Ejemplo: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

8. Haga clic en el ícono Guardar (Verificar)

9. En el panel Propiedades, haga clic en el botón + Propiedad

10. Proporcione lo siguiente:

    • Parámetro: Wtrealm

    • Valor: Wtrealm (véase más arriba).

      Ejemplo: https://example.com/Vinyl/signin-ExampleADFS

11. Haga clic en el ícono Guardar (Verificar)

12. En el panel Propiedades, haga clic en el botón + Propiedad

13. Proporcione lo siguiente:

    • Parámetro: Audiencia

    • Valor: Audiencia (ver arriba).

      Ejemplo: https://example.com/Vinyl/signin-ExampleADFS

14. Haga clic en el ícono Guardar (Verificar)

Además, cualquier reclamación asignada en AD FS deberá asignarse en Vinyl. Por ejemplo, para asignar el reclamo correo:

1. En el panel Reclamaciones, haga clic en el botón + Reclamación

2. Proporcione lo siguiente:

   • Identificador: nombre del tipo de reclamo.\

     Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

   • Uso: uso del tipo de reclamo.\

     Ejemplo: * Dirección de Correo *

3. Haga clic en el ícono Guardar (Verificar)

Crear una Confianza de Usuario Dependiente de AD FS para Vinyl¶

Cada instancia de Vinyl debe registrarse en AD FS como confianza de parte confiada. Los detalles completos de la creación, configuración y mantenimiento de fideicomisos de partes confiadas quedan fuera del alcance de este documento. Para obtener información adicional que describe cómo crear una confianza de usuario de confianza de AD FS, consulte el siguiente artículo de TechNet:

https://technet.microsoft.com/en-ca/library/dd807108.aspx

La creación de un fideicomiso de parte confiada requiere la siguiente información:

• Protocolo: WS-Federación Pasiva

• URL del protocolo pasivo WS-Federation del usuario que confía: Corresponde a la Passive Protocol URL (véase más arriba).\

  Ejemplo: https://example.com/Vinyl/signin-ExampleADFS

• Identificador de confianza del usuario que confía: Corresponde al Wtrealm propiedad (ver arriba).\

  Ejemplo: https://example.com/Vinyl/signin-ExampleADFS

Crear una URL de Extremo de AD FS para Vinyl¶

Cada instancia de Vinyl debe registrarse en AD FS como extremo. Cree un extremo en la pestaña Extremos en AD FS de la siguiente manera:

1. Haga clic en el botón Agregar WS-Federation.
2. Establezca el extremo como predeterminado (casilla de verificación).

3. URL confiable: Corresponde a la propiedad Wtrealm (ver arriba).

   Ejemplo: https://example.com/Vinyl/signin-ExampleADFS

Asignaciones de Reclamos (opcional)¶

También puede proporcionar asignaciones de reclamos opcionales. En el siguiente artículo de TechNet se describe cómo crear reglas de reclamación de confianza para usuarios de confianza de AD FS:

https://technet.microsoft.com/en-us/library/dd807115.aspx

Los reclamos comúnmente mapeados incluyen:

• Dirección de Correo - http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
• Membresía de grupo - http://schemas.xmlsoap.org/claims/Group

Ver Reclamaciones para obtener información adicional sobre reclamaciones.

Solución de Problemas¶

Ajustes de Configuración¶

Unable to get document from: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

The identity does not contain a claim matching the given type.

IDX10214: Audience validation failed. Audiences: 'https://example.com/Vinyl'. Did not match:  validationParameters.ValidAudience: 'https://example.com/Vinyl/' or validationParameters.ValidAudiences: 'null'

> Get-ADFSRelyingPartyTrust -Identifier https://example.com/Vinyl/signin-ADFS`

The user account (`<nombre de usuario>`) has successfully signed in, but no available landing page has been configured for their applications.