У меня возникают проблемы со входом в CRM из клиента Outlook, когда пользователь не находится в Active Directory.
Некоторые из наших пользователей CRM не имеют учетных данных Active Directory. Вместо этого они входят в среду IBM Websphere, используя учетные данные LDAP. Мы настроили CRM для IFD и развернули Shibboleth Idp, чтобы действовать как поставщик удостоверений для ADFS / CRM для этих пользователей. Единый веб-вход (пассивная федерация) в CRM для этих пользователей работает отлично.
Однако клиент Outlook для CRM использует ws-trust (активную федерацию) для проверки подлинности, а не пассивную федерацию, как это делает браузер. К сожалению, Shibboleth Idp не поддерживает ws-trust, поэтому мне нужна другая служба токенов безопасности (STS) ws-trust, чтобы наши пользователи LDAP могли использовать клиент Outlook.
Я протестировал несколько разных серверов STS с ws-trust (OpenAM, Thinktecture Identity Server V2.0), но безрезультатно. Вся документация по проверке подлинности на основе утверждений для CRM, похоже, сосредоточена вокруг единого входа в Интернет и не касается активной федерации с клиентом Outlook. Единственная информация, которую мне удалось собрать по этой проблеме, - это указание параметра реестра HomeRealmUrl в разделе HKLM \ SOFTWARE \ Policies \ Microsof \ MSCRMClient. Большинство блогов / форумов, в которых это упоминается, похоже, относятся к указанию активной конечной точки федерации с другого сервера ADFS, выходящего на Active Directory. Ни один из обнаруженных мной не интегрировал службу STS ws-trust, отличную от ADFS.
Я попытался указать значение HomeRealmUrl, но без какой-либо документации относительно типов привязок, которые клиент Outlook ожидает от STS, в лучшем случае он попадает и пропускается.
Кто-нибудь успешно развернул CRM IFD, где пользователи из неактивного поставщика утверждений ADFS каталога могут входить в клиент CRM Outlook? Если так: