metadata - Cómo crear metadatos de federación XML para "Confianza de la parte que confía" y "Confianzas de proveedores de reclamaciones" para ADFS 2.0

adfs2.0 federation

Question

A una de nuestras aplicaciones web le gustaría conectar con el servidor ADFS 2.0 para obtener el token de credencial y verificar las funciones de usuario basadas en eso. El administrador del servidor ADFS nos solicitó que les enviemos un archivo XML de metadatos de federación para permitirles crear Confianzas de partes confiables. Busqué en Google y solo encontré cómo descargar los metadatos de federación XML del servidor ADFS usando URL - https: // [nombre del servidor adfs ] /federationmetadata/2007-06/federationmetadata.xml Pero no pude encontrar ninguna guía para crear metadatos de federación XML para crear " Confianza del partido que confía " y " Fideicomisos del proveedor de reclamaciones ". ¿Hay alguna herramienta para crear esos archivos de metadatos? Por favor, comparta alguna idea de cómo crear.

Gracias

Lu

Responde mi propia pregunta:

Encontré las herramientas de la utilidad de federación en WindowsIdentityFoundation-SDK-4.0 en http://www.microsoft.com/en-ca/download/details.aspx?id=4451 lo hará.

Answer 1

En realidad la URL es

https://server/federationmetadata/2007-06/federationmetadata.xml

No hay herramientas que yo sepa.

Puede usar la clase Microsoft.IdentityModel.Protocols.WSFederation.Metadata o consultar Generar metadatos de federación dinámicamente .

Eche un vistazo a "Thinktecture.IdentityServer.v2 / src / Libraries / Thinktecture.IdentityServer.Protocols / FederationMetadata" en Thinktecture.IdentityServer.v2 .

O si su aplicación usa WIF, está en el directorio de metadatos.

Actualizar:

En WIF, a menos que desee cifrar el token, no necesita el certificado. Eso es más para el lado de ADFS, ya que tiene que firmar el token y la aplicación. Necesita la clave pública para verificar.

Ejemplo:

<?xml version="1.0" encoding="utf-8"?>
<EntityDescriptor ID="_5b6cd05c-a5e3-470d-a2fc-6c6f66633d1b" entityID="http://localhost/app/" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
<RoleDescriptor xsi:type="fed:ApplicationServiceType" xmlns:fed="http://docs.oasis-open.org/wsfed/federation/200706" protocolSupportEnumeration="http://docs.oasis-open.org/wsfed/federation/200706" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<fed:ClaimTypesRequested>
<auth:ClaimType Uri="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name" Optional="true" xmlns:auth="http://docs.oasis-open.org/wsfed/authorization/200706" />
<auth:ClaimType Uri="http://schemas.microsoft.com/ws/2008/06/identity/claims/role" Optional="true" xmlns:auth="http://docs.oasis-open.org/wsfed/authorization/200706" />
</fed:ClaimTypesRequested>
<fed:TargetScopes>
<EndpointReference xmlns="http://www.w3.org/2005/08/addressing">
<Address>http://localhost/app/</Address>
</EndpointReference>
</fed:TargetScopes>
<fed:PassiveRequestorEndpoint>
<EndpointReference xmlns="http://www.w3.org/2005/08/addressing">
<Address>http://localhost/app/</Address>
</EndpointReference>
</fed:PassiveRequestorEndpoint>
</RoleDescriptor>
</EntityDescriptor>

donde localhost / app / necesita ser la URL de su aplicación. Nota final de barra!

Answer 2

Metadatos xml para crear "Repetición de confianza de parte" no es metadta de federación de ADFS, sino metadatos xml de SP (emisor de Saml).

Answer 3

Para crear metadatos de SAML RP hay una herramienta basada en web disponible en samltool.com que puede ayudar. No he encontrado uno para WS-Federation que no sea la utilidad de federación ...

También descubrí recientemente el sitio rcFederation que admite AD FS / WS-Federation

Answer 4

Tenía que hacer esto recientemente, nunca antes había usado .Net o ADFS, y solo tenía la URL de metadatos del servidor (STS) con la que estaba tratando de integrarme. Tenía una PC con Windows 10 básica e intentaba configurar una aplicación web Node.js como RP. Esto es lo que hice:

1. En la PC con Win 10, vaya a Panel de control -> Programas y características -> Activar o desactivar las características de Windows -> Habilitar Windows Identity Foundation 3.5

2. Instalar Windows Identity Foundation SDK 4.0 (según lo mencionado por el autor original).

3. Creó un archivo web.config básico que contenía:

   <?xml version="1.0" encoding="utf-8" ?>
   <configuration>
   <system.web>
   </system.web>
   </configuration>

4. En el directorio de instalación del SDK, encontré FedUtil.exe y FedUtilSampleUserInput.xml. El archivo de muestra explicó todos los parámetros que FedUtil.exe iba a solicitar, lo que fue muy útil.

5. Se lanzó FedUtil.exe como administrador (haga clic con el botón derecho en el Explorador de archivos), proporcione el archivo Web.config que acabo de crear, la URL de la aplicación web, la URL de metadatos del servidor (STS) como "STS existente" y seleccione para crear un nuevo valor predeterminado certificado.

6. Y he aquí que se generó un archivo FederationMetadata.xml y mi archivo Web.config se actualizó automáticamente.

7. Luego dejé de comentar algunos de los tipos de reclamos en el archivo Web.config actualizado y volví a ejecutar FedUtil.exe, que luego actualicé mi FederationMetadata.xml con los tipos de reclamos adicionales que necesitaba del STS (por ejemplo, correo electrónico, nombre de pila). apellido

8. ¡Proporcioné el FederationMetadata.xml al administrador de STS, que funcionó!

El único inconveniente es que todo esto requiere una máquina con Windows ... ¡No estoy seguro de lo que habría hecho en Mac o Linux!