Назад | Перейти на главную страницу

AD FS - при наличии федеративного единого входа в Интернете партнер по учетным записям не может войти в SharePoint, а партнер по ресурсам - в порядке.

При реализации Федеративный веб-единый вход проектировать между доступом к SharePoint в организации-партнере по ресурсам и тем, когда кажется, что все делается правильно, как в пошаговом руководстве Windows Server 2012 R2 AD FS - федеративный веб-единый вход, что-то было не так.

Пользователи учетной записи организации не могут войти включен, потому что браузер переключается между партнером по ресурсам и партнерской учетной записью ADFS, пока он не сгенерирует следующий код события 364 в партнерской учетной записи ADFS: Microsoft.IdentityServer.Web.InvalidRequestException: MSIS7042: The same client browser session has made '6' requests in the last '3' seconds. Contact your administrator for details.
У пользователей организации-партнера по ресурсам нет проблем со входом в систему
Это не связано с меткой времени токена SAML. Я проверил, что время жизни установлено правильно. Никаких проблем с часовым поясом или других проблем с конфигурацией.
Я вижу, что выдается первичный SID, но мне было интересно, почему не выдается токен EMail, который установлен как утверждение идентификатора в SharePoint
На сервере ADFS партнера по учетной записи я передаю заявку по электронной почте Проверяющей стороне партнера по ресурсам. На сервере ADFS партнера по ресурсам в рамках поставщика заявлений я передаю (принимаю) заявку по электронной почте. На проверяющей стороне я сопоставляю адрес электронной почты с атрибутом ldap с исходящим заявлением по электронной почте (к сожалению, это последнее предложение на самом деле является виновником, но для меня не было очевидным)

sharepoint adfs

Комментарий к ответу к другому вопросу приводит к решению, утверждающему, что:

У меня не было правил пропуска заявок для sharepoint на сервере ADFS RP.

Оказывается, для проверяющей стороны SharePoint у меня было правило «Отправлять атрибуты LDAP как утверждения», которое сопоставляло входящее электронное утверждение с исходящим электронным заявлением. Оказывается Мне нужно было "пройти или отфильтровать входящий Caim", чтобы просто передать его.

Бинго. Правило «Отправить атрибуты LDAP ...» подразумевает, что нужно запрашивать хранилище атрибутов Active Directory. Что ж, у партнера по ресурсам нет информации, которую можно было бы извлечь из собственной AD для извлечения адреса электронной почты. И поэтому мне просто нужно передать его, но не получить свой собственный AD. В Создание правила для отправки атрибутов LDAP в виде утверждений документация заявляет это:

Используя шаблон правила «Отправить атрибуты LDAP как утверждения» в службах федерации Active Directory (AD FS), вы можете создать правило, которое будет выберите атрибуты из облегченного протокола доступа к каталогам (LDAP) хранилище атрибутов, такое как Active Directory, для отправки в качестве утверждений проверяющей стороне. Например, вы можете использовать этот шаблон правила для создания правила отправки атрибутов LDAP как утверждений, которое будет извлечь значения атрибутов для аутентифицированных пользователей ...