さっしーの試してみるか3: AD FS

ラベル AD FS の投稿を表示しています。すべての投稿を表示

2011年8月5日金曜日

Amazon VPCとID Federationの気になる関係は？

会社の同僚に以下の記事を教えてもらいました。

仮想プライベートクラウド、Amazon VPCが日本でも開始
http://itpro.nikkeibp.co.jp/article/NEWS/20110804/363572/?ST=cloud

読んでいくと、フェデレーションの記述があり、Active DirectoryとLDAPに連携するするということなら、Active Directory側はAD FS 2.0が対応しそうな気がしますね。

さて、どうなんでしょうか。

2011年2月20日日曜日

ADFSのLDAP属性

ADFSというか、Active DirectoryのLDAP属性は、ここに一覧があります。
http://msdn.microsoft.com/en-us/library/ms675090(v=VS.85).aspx

ADSIエディターなどで表示される属性は、LDAP表示名（Ldap-Display-Name）と呼ばれるもののようですね。
E-Mail-Addressだとこういう感じの内容で書かれています。

IdPとSPを連携させてクレーム対応アプリケーションを試してみた

IdP側のSTSで認証して属性ストアからメールアドレスをセキュリティトークンとしてもらい、SP側のSTSでそのメールアドレスに対応する役職をセキュリティトークンに追加する動作を試してみました。

アプリケーションにアクセスしてからの一連の動作は、以下の図のようになります。

そして、それぞれどのような信頼関係や属性ストアがあるかは、以下の図の通りです。

注）IdP側STSからActive Directoryに対する"要求プロバイダー信頼"、"属性ストア"は、AD FS 2.0の構成時に合わせて作られています。

今回は、以下のものを設定しています。
(1)IdP側STSから、SP側STSに対する"証明書利用者信頼"
(2)SP側STSから、役割(役職)ストアに対する"属性ストア"
　これは、SQL Server 2008 R2 Express上に作ったデータベースです。
　DBMSに対する属性ストアの接続については、日本マイクロソフトの安納さんのブログ記事を参考にしています。
　【IDM】AD FS 2.0 で属性ストアとしてSQL Server を使用する
　ただ、SQL Server 2008 R2 Expressの場合は、
　　server=ホスト名\sqlexpress
　としてやる必要がありますね。
　参考：　SQL Server Express ユーザーインスタンスへの接続 (ADO.NET)
(3)SP側STSで認証しないように、Web.configを以下のように変更します。
　localAuthenticationTypesタグの要素をコメントアウトすると、このADFSで認証しない様になります。

<localAuthenticationTypes>

</localAuthenticationTypes>

(4)SP側STSから、IdP側STSに対する"要求プロバイダー信頼"
(5)SP側STSから、クレーム対応アプリケーションに対する"証明書利用者信頼"

では、(1)、(4)、(5)の要求規則セットと要求規則についても書いておきます。
(1)は、"発行承認規則"に以下の要求規則を定義しました。