さっしーの試してみるか3: IdPとSPを連携させてクレーム対応アプリケーションを試してみた

IdP側のSTSで認証して属性ストアからメールアドレスをセキュリティトークンとしてもらい、SP側のSTSでそのメールアドレスに対応する役職をセキュリティトークンに追加する動作を試してみました。

アプリケーションにアクセスしてからの一連の動作は、以下の図のようになります。

そして、それぞれどのような信頼関係や属性ストアがあるかは、以下の図の通りです。

注）IdP側STSからActive Directoryに対する"要求プロバイダー信頼"、"属性ストア"は、AD FS 2.0の構成時に合わせて作られています。

今回は、以下のものを設定しています。
(1)IdP側STSから、SP側STSに対する"証明書利用者信頼"
(2)SP側STSから、役割(役職)ストアに対する"属性ストア"
　これは、SQL Server 2008 R2 Express上に作ったデータベースです。
　DBMSに対する属性ストアの接続については、日本マイクロソフトの安納さんのブログ記事を参考にしています。
　【IDM】AD FS 2.0 で属性ストアとしてSQL Server を使用する
　ただ、SQL Server 2008 R2 Expressの場合は、
　　server=ホスト名\sqlexpress
　としてやる必要がありますね。
　参考：　SQL Server Express ユーザーインスタンスへの接続 (ADO.NET)
(3)SP側STSで認証しないように、Web.configを以下のように変更します。
　localAuthenticationTypesタグの要素をコメントアウトすると、このADFSで認証しない様になります。

<localAuthenticationTypes>

</localAuthenticationTypes>

(4)SP側STSから、IdP側STSに対する"要求プロバイダー信頼"
(5)SP側STSから、クレーム対応アプリケーションに対する"証明書利用者信頼"

では、(1)、(4)、(5)の要求規則セットと要求規則についても書いておきます。
(1)は、"発行承認規則"に以下の要求規則を定義しました。