Пошаговое руководство по работе со службами AD FS в Windows Server 2008

Имя компьютера

Роль клиента/сервера AD FS

Операционная система

Параметры протокола IPv4

Параметры DNS-сервера

adfsclient

Клиентский компьютер

Windows XP с пакетом обновлений Service Pack 2 (SP2) или Windows Vista

Предпочитаемый:
192.168.1.3

Альтернативный:
192.168.1.4
 

adfsweb

Веб-сервер

Windows Server 2008 Standard или Windows Server 2008 Enterprise

IP-адрес:
192.168.1.2

Маска подсети:
255.255.255.0

Предпочитаемый:
192.168.1.4

adfsaccount

Сервер служб федерации и контроллер домена

Windows Server 2008 Enterprise

IP-адрес:
192.168.1.3

Маска подсети:
255.255.255.0

adfsresource

Сервер служб федерации и контроллер домена

Windows Server 2008 Enterprise

IP-адрес:
192.168.1.4

Маска подсети:
255.255.255.0

Имя компьютера

Название компании

Имя домена Active Directory (новый лес)

Конфигурация DNS

adfsaccount

A. Datum Corporation

adatum.com

Установите DNS-сервер, когда будет предложено.

adfsresource

Trey Research

treyresearch.net

Установите DNS-сервер, когда будет предложено.

Тип создаваемого объекта

Имя объекта

Имя пользователя

Действия

Глобальная группа безопасности

TreyClaimAppUsers

Не применимо

Не применимо

Пользователь

Alan Shen

alansh

Пользователь alansh будет выступать в качестве федеративного пользователя, осуществляющего доступ к приложению по заявкам.

Сделайте пользователя alansh участником глобальной группы TreyClaimAppUsers.

Имя компьютера

Присоединить к домену

adfsclient

adatum.com

adfsweb

treyresearch.net

Для установки службы федерации выполните следующие действия:

1. В меню Start раскройте папкуAdministrative Tools и щелкните значок Server Manager.

2. Правой кнопкой мыши щелкните на узле Roles и в контекстном меню выберите команду Add Roles, чтобы запустить мастер Add Roles Wizard.

3. На странице Before You Begin нажмите кнопку Next.

4. На странице Select Server Roles установите флажок Active Directory Federation Services и дважды нажмите кнопку Next.

5. На странице Select Role Services установите флажок Federation Service. Если Вам будет предложено дополнительно установить роль Web Server (IIS) или роль Windows Process Activation Service (WAS), нажмите кнопку Add Required Role Services, а затем нажмите кнопку Next.

6. На странице Choose a Server Authentication Certificate for SSL Encryption установите переключатель в положение Create a self-signed certificate for SSL encryption и нажмите кнопку Next.

7. На странице Choose a Token-Signing Certificate установите переключатель в положение Create a self-signed token-signing certificate и нажмите кнопку Next.

8. На странице Select Trust Policy установите переключатель в положение Create a new trust policy и дважды нажмите кнопку Next.

9. На странице Select Role Services нажмите кнопку Next, приняв значения по умолчанию.

10. Просмотрите информацию на странице Confirm Installation Selections и нажмите кнопу Install.

11. На странице Installation Results убедитесь в том, что все компоненты были установлены корректно, и нажмите кнопку Close.

Для назначения учетной записи «Local System» группе приложений «ADFSAppPool» выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли раскройте узел ADFSRESOURCE или ADFSACCOUNT и выберите раздел Application Pools.

3. В центральной панели щелкните правой кнопкой мыши на группе ADFSAppPool и в контекстном меню выберите пункт Set Application Pool Defaults.

4. В разделе Process Model выберите параметр Identity и нажмите кнопку ….

5. В раскрывающемся списке Built-in account выберите учетную запись LocalSystem и дважды нажмите кнопку OK.

Для настройки IIS на использование SSL на обоих серверах федерации выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли раскройте узел ADFSACCOUNT или ADFSRESOURCE. После этого раскройте узел Sites и выберите узел Default Web Site.

3. В центральной панели дважды щелкните значок SSL Settings и установите флажок Require SSL.

4. Установите переключатель Client certificates в положение Accept и щелкните ссылкуApply.

Для установки веб-агента AD FS выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Server Manager.

2. Правой кнопкой мыши щелкните на узле Roles и в контекстном меню выберите команду Add Roles, чтобы запустить мастер Add Roles Wizard.

3. На странице Before You Begin нажмите кнопку Next.

4. На странице Select Server Roles установите флажок Active Directory Federation Services и дважды нажмите кнопку Next.

5. На странице Select Role Services установите флажок Claims-aware Agent. Если Вам будет предложено установить дополнительные серверные роли Web Server (IIS) или Windows Process Activation Service, нажмите кнопку Add Required Role Services, чтобы установить их, а затем нажмите кнопку Next.

6. На странице Web Server (IIS) нажмите кнопку Next.

7. На странице Select Role Services установите флажки Client Certificate Mapping Authentication и IIS Management Console в дополнение к уже установленным, и нажмите кнопку Next.

   Установка флажка The Client Certificate Mapping Authentication приводит к установке компонентов, необходимых для того, чтобы служба IIS смогла создать самоподписанный сертификат проверки подлинности сервера, использующийся на этом сервере.

8. Просмотрите информацию на странице Confirm Installation Selections и нажмите кнопу Install.

9. На странице Installation Results убедитесь в том, что все компоненты были установлены корректно, и нажмите кнопку Close.

Для создания сертификата проверки подлинности для компьютера «adfsweb» выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли выберите узел ADFSWEB.

3. В центральной панели дважды щелкните значок Server Certificates.

4. В области действий Actions щелкните ссылку Create Self-Signed Certificate.

5. В поле Specify a friendly name for the certificate диалогового окна Create Self-Signed Certificate введите adfsweb и нажмите кнопку OK.

Для экспорта сертификата подписи маркера компьютера «adfsaccount» в файл выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Правой кнопкой мыши щелкните на узле Federation Service и в контекстном меню выберите пункт Properties.

3. На вкладке General нажмите кнопку View.

4. На вкладке Details нажмите кнопку Copy to File.

5. На странице Welcome to the Certificate Export Wizard нажмите кнопку Next.

6. На странице Export Private Key установите переключатель в положение No, do not export the private key и нажмите кнопку Next.

7. На странице Export File Format установите переключатель в положение DER encoded binary X.509 (.Cer) и нажмите кнопку Next.

8. На странице File to Export введите C:\adfsaccount_ts.cer в поле File Name и нажмите кнопку Next.

   Примечание:

   Сертификат подписи маркера компьютера adfsaccount будет импортирован на компьютер adfsresource позже, когда мастер Account Partner Wizard предложит указать сертификат на странице Account Partner Verification Certificate (раздел Шаг 4. Настройка серверов федерации). В тот момент Вы будете получать доступ к файлу сертификата, расположенному на компьютере adfsresource, через сетевое окружение.

9. На странице Completing the Certificate Export Wizard нажмите кнопку Finish.

Для экспорта сертификата проверки подлинности сервера «adfsresource» в файл выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли выберите узел ADFSRESOURCE.

3. В центральной панели дважды щелкните значок Server Certificates.

4. В центральной панели щелкните правой кнопкой мыши на имени сертификата adfsresource.treyresearch.net и в контекстном меню выберите команду Export.

5. В диалоговом окне Export Certificate нажмите кнопку ….

6. В поле File name введите C:\adfsresource и нажмите кнопу Open.

   Примечание:

   В следующей процедуре сертификат должен быть импортирован на компьютер adfsweb, поэтому убедитесь, что файл сертификата доступен для компьютера adfsweb через сетевое окружение.

7. Задайте пароль для сертификата, подтвердите его и нажмите кнопку OK.

Для импорта сертификата проверки подлинности сервера «adfsresource» на сервер «adfsweb» выполните следующие действия:

1. В меню Start щелкните значок Run, введите mmc и нажмите кнопку OK.

2. В меню File выберите команду Add/Remove Snap-in.

3. В списке Available snap-ins выберите оснастку Certificates, нажмите кнопку Add, установите переключатель в положение Computer account и нажмите кнопку Next.

4. Установите переключатель в положение Local computer: (the computer this console is running on), нажмите кнопку Finish, а затем нажмите кнопку OK.

5. Последовательно раскройте узлы Certificates (Local Computer) и Trusted Root Certification Authorities, правой кнопкой мыши щелкните на папке Certificates и в меню All Tasks выберите команду Import.

6. На странице Welcome to the Certificate Import Wizard мастера импорта сертификатов нажмите кнопку Next.

7. На странице File to Import введите \\adfsresource\c$\adfsresource.pfx в поле File Name и нажмите кнопку Next.

   Примечание:

   Для получения доступа к файлу adfsresource.pfx Вам может потребоваться подключить сетевой диск. Также Вы можете скопировать этот файл непосредственно с компьютера adfsresource на компьютер adfsweb и указать локальный путь к файлу.

8. На странице Password введите пароль для файла adfsresource.pfx и нажмите кнопку Next.

9. На странице Certificate Store установите переключатель в положение Place all certificates in the following store и нажмите кнопку Next.

10. На странице Completing the Certificate Import Wizard убедитесь, что все параметры заданы правильно, и нажмите кнопку Finish.

Для настройки служб IIS на веб-сервере выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли последовательно раскройте узлы ADFSWEB и Sites, и выберите веб-узел Default Web Site.

3. В области действий Actions щелкните ссылку Bindings.

4. В диалоговом окне Site Bindings нажмите кнопку Add.

5. В раскрывающемся списке Type выберите параметр https.

6. В раскрывающемся списке SSL certificate выберите сертификат adfsweb, нажмите кнопку OK, а затем нажмите кнопку Close.

7. В центральной панели дважды щелкните значок SSL Settings и установите флажок Require SSL.

8. Установите переключатель Client certificates в положение Accept и щелкните ссылку Apply.

Для создания и настройки приложения по заявкам выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Internet Information Services (IIS) Manager.

2. В дереве консоли последовательно раскройте узлы ADFSWEB и Sites, правой кнопкой мыши щелкните на узле Default Web Site и в контекстном меню выберите команду Add Application.

3. В диалоговом окне Add Application введите claimapp в поле Alias.

4. Нажмите кнопку Select, в раскрывающемся списке выберите параметр Classic .NET AppPool и нажмите кнопку OK.

5. Нажмите кнопку … и выберите папку C:\inetpub\wwwroot.

6. Нажмите кнопку Make New Folder введите имя папки claimapp и дважды нажмите кнопку OK.

   Примечание:

   Не используйте заглавные буквы в имени папки claimapp, так как в этом случае пользователи должны будут также использовать заглавные буквы при вводе адреса веб-узла.

7. Создайте три файла, из которых будет состоять приложение по заявкам, выполнив процедуры, представленные в Приложении А. Создание тестового приложения по заявкам, после чего скопируйте их в папку «C:\inetpub\wwwroot\claimapp».

Для настройки политики доверия компании A. Datum Corporation выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. В дереве консоли раскройте узел Federation Service, правой кнопкой мыши щелкните на узле Trust Policy и в контекстном меню выберите пункт Properties.

3. В поле Federation Service URI на вкладке General введите urn:federation:adatum.

   Примечание:

   Этот параметр является чувствительным к регистру.

4. Убедитесь, что в поле Federation Service endpoint URL отображается текст https://adfsaccount.adatum.com/adfs/ls/.

5. На вкладке Display Name в поле Display name for this trust policy введите A. Datum, заменив существующий текст, и нажмите кнопку OK.

Для создания заявки о группах для приложения по заявкам выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и My Organization, правой кнопкой мыши щелкните папку Organization Claims и в меню New выберите пункт Organization Claim.

3. В диалоговом окне Create a New Organization Claim в поле Claim name введите Trey ClaimApp Claim.

4. Убедитесь, что переключатель установлен в положение Group claim, и нажмите кнопку OK.

Для добавления хранилища учетных записей AD DS выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и My Organization, правой кнопкой мыши щелкните папку Account Stores и в меню New выберите пункт Account Store.

3. На странице Welcome to the Add Account Store Wizard нажмите кнопку Next.

4. На странице Account Store Type убедитесь, что переключатель установлен в положение Active Directory Domain Services, и нажмите кнопку Next.

   Примечание:

   Только одно хранилище AD DS может быть связано со службой федерации. Если параметр Active Directory Domain Services не доступен, то хранилище AD DS уже было создано для этой службы федерации.

5. На странице Enable this Account Store убедитесь, что флажок Enable this account store установлен, и нажмите кнопку Next.

6. На странице Completing the Add Account Store Wizard нажмите кнопку Finish.

Для сопоставления заявки о группах глобальной группе AD DS выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy, My Organization и Account Stores, правой кнопкой мыши щелкните папку Active Directory и в меню New выберите пункт Group Claim Extraction.

3. В диалоговом окне Create a New Group Claim Extraction нажмите кнопку Add, введите имя объекта treyclaimappusers и нажмите кнопку OK.

4. Убедитесь, что в раскрывающемся списке Map to this Organization Claim отображается текст Trey ClaimApp Claim, и нажмите кнопку OK.

Для добавления партнера по ресурсам выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и Partner Organizations, правой кнопкой мыши щелкните папку Resource Partners и в меню New выберите пункт Resource Partner.

3. На странице Welcome to the Add Resource Partner Wizard нажмите кнопку Next.

4. На странице Import Policy File убедитесь, что переключатель установлен в положение No, и нажмите кнопку Next.

5. На странице Resource Partner Details введите Trey Research в поле Display name.

6. В поле Federation Service URI введите urn:federation:treyresearch.

   Примечание:

   Этот параметр является чувствительным к регистру.

7. В поле Federation Service endpoint URL введите https://adfsresource.treyresearch.net/adfs/ls/ и нажмите кнопку Next.

8. На странице Federation Scenario установите переключатель в положение Federated Web SSO и нажмите кнопку Next.

9. На странице Resource Partner Identity Claims установите флажок UPN Claim и нажмите кнопку Next.

10. На странице Select UPN Suffix установите переключатель в положение Replace all UPN domain suffixes with the following, введите adatum.com и нажмите кнопку Next.

11. На странице Enable this Resource Partner убедитесь, что установлен флажок Enable this resource partner, и нажмите кнопку Next.

12. На странице Completing the Add Resource Partner Wizard нажмите кнопку Finish.

Для создания сопоставления исходящей заявки о группах выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy, Partner Organizations и Resource Partners, правой кнопкой мыши щелкните на записи Trey Research и в меню New выберите пункт Outgoing Group Claim Mapping.

3. В диалоговом окне Create a New Outgoing Group Claim Mapping выберите параметр Trey ClaimApp Claim в раскрывающемся списке Organization group claims.

4. В поле Outgoing group claim name введите ClaimAppMapping и нажмите кнопку OK.

   Примечание:

   Этот параметр является чувствительным к регистру. Значение этого параметра должно в точности совпадать с именем сопоставления входящей заявки о группах, созданным в организации партнера по ресурсам.

Для настройки политики доверия компании Trey Research выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. В дереве консоли раскройте узел Federation Service, правой кнопкой мыши щелкните на узле Trust Policy и в контекстном меню выберите пункт Properties.

3. В поле Federation Service URI на вкладке General введите urn:federation:treyresearch.

   Примечание:

   Этот параметр является чувствительным к регистру.

4. Убедитесь, что в поле Federation Service endpoint URL отображается текст https://adfsresource.treyresearch.net/adfs/ls/.

5. В поле Display name for this trust policy на вкладке Display Name введите Trey Research, заменив существующий текст, и нажмите кнопку OK.

Для создания заявки о группах для приложения по заявкам выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и My Organization, правой кнопкой мыши щелкните папку Organization Claims и в меню New выберите пункт Organization Claim.

3. В диалоговом окне Create a New Organization Claim в поле Claim name введите Adatum ClaimApp Claim.

4. Убедитесь, что переключатель установлен в положение Group claim, и нажмите кнопку OK.

Для добавления хранилища учетных записей AD DS выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и My Organization, правой кнопкой мыши щелкните папку Account Stores и в меню New выберите пункт Account Store.

3. На странице Welcome to the Add Account Store Wizard нажмите кнопку Next.

4. На странице Account Store Type убедитесь, что переключатель установлен в положение Active Directory Domain Services, и нажмите кнопку Next.

5. На странице Enable this Account Store убедитесь, что флажок Enable this account store установлен, и нажмите кнопку Next.

6. На странице Completing the Add Account Store Wizard нажмите кнопку Finish.

Для добавления приложения по заявкам выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и My Organization, правой кнопкой мыши щелкните папку Applications и в меню New выберите пункт Application.

3. На странице Welcome to the Add Application Wizard нажмите кнопку Next.

4. На странице Application Type установите переключатель в положение Claims-aware application и нажмите кнопку Next.

5. На странице Application Details введите Claims-aware Application в поле Application display name.

6. В поле Application URL введите https://adfsweb.treyresearch.net/claimapp/ и нажмите кнопку Next.

7. На странице Accepted Identity Claims установите флажок User principal name (UPN) и нажмите кнопку Next.

8. На странице Enable this Application убедитесь, что флажок Enable this application установлен, и нажмите кнопку Next.

9. На странице Completing the Add Application Wizard нажмите кнопку Finish.

Для включения заявки о группах «Adatum ClaimApp Claim» выполните следующие действия:

1. В папке Applications выберите значок Claims-aware Application.

2. Щелкните правой кнопкой мыши значок Adatum ClaimApp Claim и в контекстном меню выберите команду Enable.

Для добавления партнера по учетным записям выполните следующие действия:

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy и Partner Organizations, правой кнопкой мыши щелкните папку Account Partners и в меню New выберите пункт Account Partner.

3. На странице Welcome to the Add Account Partner Wizard нажмите кнопку Next.

4. На странице Import Policy File убедитесь, что переключатель установлен в положение No, и нажмите кнопку Next.

5. На странице Account Partner Details введите A. DatumCorporation в поле Display name.

6. В поле Federation Service URI введите urn:federation:adatum.

   Примечание:

   Этот параметр является чувствительным к регистру.

7. В поле Federation Service endpoint URL введите https://adfsaccount.adatum.com/adfs/ls/ и нажмите кнопку Next.

8. На странице Account Partner Verification Certificate выполните следующие действия:

   1. Нажмите кнопку Browse.

   2. В поле File name введите \\adfsaccount\c$.

   3. Нажмите кнопку Open.

   4. Дважды щелкните файл adfsaccount_ts.cer и нажмите кнопку Next.

   Примечание:

   Для получения доступа к файлу adfsaccount_ts.cer Вам может понадобиться подключить сетевой диск. Сертификат для проверки партнера по учетным записям является сертификатом подписи маркера, который был экспортирован с компьютера adfsaccount в разделе Шаг 2. Установка ролей AD FS и настройка сертификатов.

9. На странице Federation Scenario установите переключатель в положение Federated Web SSO и нажмите кнопку Next.

10. На странице Account Partner Identity Claims установите флажок UPN Claim и нажмите кнопку Next.

11. На странице Accepted UPN Suffixes введите суффикс adatum.com в поле Add a new suffix, нажмите кнопку Add и нажмите кнопку Next.

12. На странице Enable this Account Partner убедитесь, что флажок Enable this account partner установлен, и нажмите кнопку Next.

13. На странице Completing the Add Account Partner Wizard нажмите кнопку Finish.

Для создания сопоставления входящей заявки о группах выполните следующие действия

1. В меню Start раскройте папку Administrative Tools и щелкните значок Active Directory Federation Services.

2. Последовательно раскройте узлы Federation Service, Trust Policy, Partner Organizations и Account Partners, правой кнопкой мыши щелкните на записи A. Datum Corporation и в меню New выберите пункт Incoming Group Claim Mapping.

3. В диалоговом окне Create a New Incoming Group Claim Mapping введите ClaimAppMapping в поле Incoming group claim name.

   Примечание:

   Этот параметр является чувствительным к регистру. Значение этого параметра должно в точности совпадать с именем сопоставления исходящей заявки о группах, созданным в организации партнера по учетным записям.

4. Выберите параметр Adatum ClaimApp Claim в раскрывающемся списке Organization group claim и нажмите кнопку OK.

Для добавления сервера федерации «adfsaccount» в зону доверенных узлов веб-обозревателя выполните следующие действия:

1. Войдите на клиентский компьютер adfsclient под учетной записью alansh.

2. Запустите веб-обозреватель Internet Explorer.

3. В меню Сервис выберите пункт Свойства обозревателя.

4. На вкладке Безопасность выберите зону Местная интрасеть и нажмите кнопку Узлы.

5. Нажмите кнопку Дополнительно.

6. В поле Добавить в зону следующий узел введите https://adfsaccount.adatum.com и нажмите кнопку Добавить.

7. Нажмите кнопку Закрыть и дважды нажмите кнопку OK.

Для доступа к приложению по заявкам с клиентского компьютера под управлением Windows XP выполните следующие действия:

1. Войдите на клиентский компьютер adfsclient под учетной записью alansh.

2. Запустите веб-обозреватель и перейдите по адресу https://adfsweb.treyresearch.net/claimapp/.

   Примечание:

   Вы получите два предупреждения системы безопасности с информацией о сертификатах. Вы можете установить каждый из сертификатов, нажав кнопку Просмотр сертификата, а затем кнопку Установить сертификат в диалоговом окне Предупреждение системы безопасности, или же каждый раз нажимая кнопку Да в ответ на запрос системы. Каждое из этих предупреждений содержит сообщение «Сертификат выдан организацией, не входящей в состав доверенных». Данное поведение системы является нормальным, поскольку в этом руководстве используются самоподписанные сертификаты.

3. Когда Вам будет предложено указать домашнюю область, щелкните A. Datum Corporation и нажмите кнопку Отправить.

   Примечание:

   Вы получите дополнительное приглашение для указания сертификата.

4. На этом этапе в окне веб-обозревателя будет отображено приложение SSO Sample Application. Вы сможете увидеть, какие заявки были отправлены на веб-сервер, в разделе SingleSignOnIdentity.SecurityPropertyCollection тестового приложения.

   Примечание:

   Если по какой-либо причине у Вас возникнут проблемы с доступом к приложению по заявкам, попробуйте выполнить команду iisreset или перезагрузить компьютер adfsweb, после чего попытайтесь получить доступ к приложению еще раз.

Для доступа к приложению по заявкам с клиентского компьютера под управлением Windows Vista выполните следующие действия:

1. Войдите на клиентский компьютер adfsclient под учетной записью alansh.

2. Запустите веб-обозреватель и установите необходимые сертификаты на клиентский компьютер, выполнив следующие шаги:

   1. Перейдите по адресу https://adfsaccount.adatum.com/.

   Вы попадете на страницу Ошибка сертификата: переходы блокированы, содержащую сообщение о том, что сертификат не был выпущен доверенным центром сертификации. Данное поведение системы является нормальным, если при развертывании служб AD FS используются самоподписанные сертификаты.

   2. Щелкните ссылку Продолжить открытие этого веб-узла (не рекомендуется).

   3. В адресной строке обозревателя нажмите кнопку Ошибка сертификата, а затем щелкните ссылку Просмотр сертификатов.

   4. В диалоговом окне Сертификат нажмите кнопку Установить сертификат.

   5. На странице приветствия мастера импорта сертификатов нажмите кнопку Далее.

   6. На странице Хранилище сертификатов установите переключатель в положение Поместить все сертификаты в следующее хранилище и нажмите кнопку Обзор.

   7. В диалоговом окне Выбор хранилища сертификатов выберите хранилище Доверенные корневые центры сертификации, нажмите кнопку OK, а затем нажмите кнопку Далее.

   8. На странице Завершение мастера импорта сертификатов нажмите кнопку Готово.

   9. В диалоговом окне Предупреждение о безопасности нажмите кнопку Да.

   10. Дважды нажмите кнопку OK.

   11. Повторите шаги 1-10 для веб-узлов https://adfsresource.treyresearch.net и https://adfsweb.treyresearch.net, чтобы установить все три сертификата в хранилище доверенных корневых центров сертификации.

3. Когда Вам будет предложено указать домашнюю область, щелкните A. Datum Corporation и нажмите кнопку Отправить.

4. На этом этапе в окне веб-обозревателя будет отображено приложение SSO Sample Application. Вы сможете увидеть, какие заявки были отправлены на веб-сервер, в разделе SingleSignOnIdentity.SecurityPropertyCollection тестового приложения

   Примечание:

   Если по какой-либо причине у Вас возникнут проблемы с доступом к приложению по заявкам, попробуйте выполнить команду iisreset или перезагрузить компьютер adfsweb, после чего попытайтесь получить доступ к приложению еще раз.

Для создания файла «Default.aspx» выполните следующие действия:

1. Запустите программу Блокнот.

2. Скопируйте и вставьте следующий код в новый файл:

   <%@ Page Language="C#" AutoEventWireup="true" CodeFile="Default.aspx.cs" Inherits="_Default" %>

   <%@ OutputCache Location="None" %>

   <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">

   <html xmlns="http://www.w3.org/1999/xhtml" >

   <head>

   <meta http-equiv="Content-Language" content="en-us">

   <meta http-equiv="Content-Type" content="text/html; charset=windows-1252">

   <title>Claims-aware Sample Application</title>

   <style>

   <!--

   .pagetitle { font-family: Verdana; font-size: 18pt; font-weight: bold;}

   .propertyTable td {>

   .propertyTable th {font-weight: bold; background-color: #cccccc ; text-align: left }

   .propertyTable {}

   td.l{>

   tr.s{ background-color: #eeeeee }

   .banner {>

   .propertyHead {font-size: 12pt; font-family: Arial; font-weight: bold;>

   .abbrev { color: #0066FF; font-style: italic }

   -->

   </style>

   </head>

   <body>

   <form ID="Form1" runat=server>

   <div

   <div Sample</div>

   [ <asp:HyperLink ID=SignOutUrl runat=server>Sign Out</asp:HyperLink> | <a href="<%=Context.Request.Url.GetLeftPart(UriPartial.Path)%>">Refresh without viewstate data</a>]

   </div>

   <div Information</div>

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table runat=server ID=PageTable CssClass=propertyTable>

   <asp:TableHeaderRow>

   <asp:TableHeaderCell>Name</asp:TableHeaderCell>

   <asp:TableHeaderCell>Value</asp:TableHeaderCell>

   <asp:TableHeaderCell>Type</asp:TableHeaderCell>

   </asp:TableHeaderRow>

   </asp:Table>

   </div>

   <div

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table CssClass="propertyTable" ID=IdentityTable runat=server>

   <asp:TableHeaderRow>

   <asp:TableHeaderCell>Name</asp:TableHeaderCell>

   <asp:TableHeaderCell>Value</asp:TableHeaderCell>

   <asp:TableHeaderCell>Type</asp:TableHeaderCell>

   </asp:TableHeaderRow>

   </asp:Table>

   </div>

   <div

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table CssClass="propertyTable" ID=BaseIdentityTable runat=server>

   <asp:TableHeaderRow>

   <asp:TableHeaderCell>Name</asp:TableHeaderCell>

   <asp:TableHeaderCell>Value</asp:TableHeaderCell>

   <asp:TableHeaderCell>Type</asp:TableHeaderCell>

   </asp:TableHeaderRow>

   </asp:Table>

   </div>

   <div

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table CssClass="propertyTable" ID=SSOIdentityTable runat=server>

   <asp:TableHeaderRow>

   <asp:TableHeaderCell>Name</asp:TableHeaderCell>

   <asp:TableHeaderCell>Value</asp:TableHeaderCell>

   <asp:TableHeaderCell>Type</asp:TableHeaderCell>

   </asp:TableHeaderRow>

   </asp:Table>

   </div>

   <div

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table CssClass="propertyTable" ID=SecurityPropertyTable runat=server>

   <asp:TableHeaderRow>

   <asp:TableHeaderCell>Uri</asp:TableHeaderCell>

   <asp:TableHeaderCell>Claim Type</asp:TableHeaderCell>

   <asp:TableHeaderCell>Claim Value</asp:TableHeaderCell>

   </asp:TableHeaderRow>

   </asp:Table>

   </div>

   <div

   <div style="padding-left: 10px; padding-top: 10px">

   <asp:Table CssClass="propertyTable" ID=RolesTable runat=server>

   </asp:Table>

   <div style="padding-top: 10px">

   <table>

   <tr><td>Roles to check (semicolon separated):</td></tr>

   <tr><td><asp:TextBox ID=Roles Columns=55 runat=server/></td><td align="right><asp:Button" UseSubmitBehavior=true ID=GetRoles runat=server Text="Check Roles" OnClick="GoGetRoles"/></td></tr>

   </table>

   </div>

   </div>

   </form>

   </body>

   </html>

3. Сохраните файл под именем Default.aspx в папке «C:\inetpub\wwwroot\claimapp».

Для создания файла «Web.config» выполните следующие действия:

1. Запустите программу Блокнот.

2. Скопируйте и вставьте следующий код в новый файл:

   Copy and paste the following code into a new Notepad file:

   <?xml version="1.0" encoding="utf-8" ?>

   <configuration>

   <configSections>

   <sectionGroup name=""system.web">

   <section name=""websso"

   type="System.Web.Security.SingleSignOn.WebSsoConfigurationHandler, System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null" />

   </sectionGroup>

   </configSections>

   <system.web>

   <sessionState mode="Off" />

   <compilation defaultLanguage="c#" debug="true">

   <assemblies>

   <add assembly="System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null"/>

   <add assembly="System.Web.Security.SingleSignOn.ClaimTransforms, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null"/>

   </assemblies>

   </compilation>

   <customErrors mode="Off"/>

   <authentication mode="None" />

   <httpModules>

   <add

   name="Identity Federation Services Application Authentication Module"

   type="System.Web.Security.SingleSignOn.WebSsoAuthenticationModule, System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null" />

   </httpModules>

   <websso>

   <authenticationrequired />

   <eventloglevel>55</eventloglevel>

   <auditsuccess>2</auditsuccess>

   <urls>

   <returnurl>https://adfsweb.treyresearch.net/claimapp/</returnurl>

   </urls>

   <cookies writecookies="true">

   <path>/claimapp</path>

   <lifetime>240</lifetime>

   </cookies>

   <fs>https://adfsresource.treyresearch.net/adfs/fs/federationserverservice.asmx</fs>

   </websso>

   </system.web>

   <system.diagnostics>

   <switches>

   <add name=""WebSsoDebugLevel"" value="0" /> <!-- Change to 255 to enable full debug logging -->

   </switches>

   <trace autoflush="true" indentsize="3">

   <listeners>

   <add name=""LSLogListener"" type="System.Web.Security.SingleSignOn.BoundedSizeLogFileTraceListener, System.Web.Security.SingleSignOn, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, Custom=null"

   initializeData="c:\logdir\claimapp.log" />

   </listeners>

   </trace>

   </system.diagnostics>

   </configuration>

3. Сохраните файл под именем Web.config в папке «C:\inetpub\wwwroot\claimapp».

Для создания файла «Default.aspx.cs» выполните следующие действия:

1. Запустите программу Блокнот.

2. Скопируйте и вставьте следующий код в новый файл:

   using System;

   using System.Data;

   using System.Collections.Generic;

   using System.Configuration;

   using System.Reflection;

   using System.Web;

   using System.Web.Security;

   using System.Web.UI;

   using System.Web.UI.WebControls;

   using System.Web.UI.WebControls.WebParts;

   using System.Web.UI.HtmlControls;

   using System.Security;

   using System.Security.Principal;

   using System.Web.Security.SingleSignOn;

   using System.Web.Security.SingleSignOn.Authorization;

   public partial class _Default : System.Web.UI.Page

   {

   const string NullValue = "<span title=\"Null Reference, or not applicable\"><b>null</b></span>";

   static Dictionary<string, string> s_abbreviationMap;

   static _Default()

   {

   s_abbreviationMap = new Dictionary<string, string>();

   //

   // Add any abbreviations here. Make sure that prefixes of

   // replacements occur *after* the longer replacement key.

   //

   s_abbreviationMap.Add("System.Web.Security.SingleSignOn.Authorization", "SSO.Auth");

   s_abbreviationMap.Add("System.Web.Security.SingleSignOn", "SSO");

   s_abbreviationMap.Add("System", "S");

   }

   protected void Page_Load(object sender, EventArgs e)

   {

   SingleSignOnIdentity ssoId = User.Identity as SingleSignOnIdentity;

   //

   // Get some property tables initialized.

   //

   PagePropertyLoad();

   IdentityLoad();

   BaseIdentityLoad();

   SSOIdentityLoad(ssoId);

   SecurityPropertyTableLoad(ssoId);

   //

   // Filling in the roles table

   // requires a peek at the viewstate

   // since we have a text box driving this.

   //

   if (!IsPostBack)

   {

   UpdateRolesTable(new string[] { });

   }

   else

   {

   GoGetRoles(null, null);

   }

   //

   // Get the right links for SSO

   //

   if (ssoId == null)

   {

   SignOutUrl.Text = "Single Sign On isn’t installed...";

   SignOutUrl.Enabled = false;

   }

   else

   {

   if (ssoId.IsAuthenticated == false)

   {

   SignOutUrl.Text = "Sign In (you aren’t authenticated)";

   SignOutUrl.NavigateUrl = ssoId.SignInUrl;

   }

   else

   SignOutUrl.NavigateUrl = ssoId.SignOutUrl;

   }

   }

   void SecurityPropertyTableLoad(SingleSignOnIdentity ssoId)

   {

   Table t = SecurityPropertyTable;

   if (ssoId == null)

   {

   AddNullValueRow(t);

   return;

   }

   //

   // Go through each of the security properties provided.

   //

   bool alternating = false;

   foreach (SecurityProperty securityProperty in ssoId.SecurityPropertyCollection)

   {

   t.Rows.Add(CreateRow(securityProperty.Uri, securityProperty.Name, securityProperty.Value, alternating));

   alternating = !alternating;

   }

   }

   void UpdateRolesTable(string[] roles)

   {

   Table t = RolesTable;

   t.Rows.Clear();

   bool alternating = false;

   foreach (string s in roles)

   {

   string role = s.Trim();

   t.Rows.Add(CreatePropertyRow(role, User.IsInRole(role), alternating));

   alternating = !alternating;

   }

   }

   void IdentityLoad()

   {

   Table propertyTable = IdentityTable;

   if (User.Identity == null)

   {

   AddNullValueRow(propertyTable);

   }

   else

   {

   propertyTable.Rows.Add(CreatePropertyRow("Type name", User.Identity.GetType().FullName));

   }

   }

   void SSOIdentityLoad(SingleSignOnIdentity ssoId)

   {

   Table propertyTable = SSOIdentityTable;

   if (ssoId != null)

   {

   PropertyInfo[] props = ssoId.GetType().GetProperties(BindingFlags.Instance | BindingFlags.Public | BindingFlags.DeclaredOnly);

   AddPropertyRows(propertyTable, ssoId, props);

   }

   else

   {

   AddNullValueRow(propertyTable);

   }

   }

   void PagePropertyLoad()

   {

   Table propertyTable = PageTable;

   string leftSidePath = Request.Url.GetLeftPart(UriPartial.Path);

   propertyTable.Rows.Add(CreatePropertyRow("Simplified Path", leftSidePath));

   }

   void BaseIdentityLoad()

   {

   Table propertyTable = BaseIdentityTable;

   IIdentity identity = User.Identity;

   if (identity != null)

   {

   PropertyInfo[] props = typeof(IIdentity).GetProperties(BindingFlags.Instance | BindingFlags.Public | BindingFlags.DeclaredOnly);

   AddPropertyRows(propertyTable, identity, props);

   }

   else

   {

   AddNullValueRow(propertyTable);

   }

   }

   void AddNullValueRow(Table table)

   {

   TableCell cell = new TableCell();

   cell.Text = NullValue;

   TableRow row = new TableRow();

   row.CssClass = "s";

   row.Cells.Add(cell);

   table.Rows.Clear();

   table.Rows.Add(row);

   }

   void AddPropertyRows(Table propertyTable, object obj, PropertyInfo[] props)

   {

   bool alternating = false;

   foreach (PropertyInfo p in props)

   {

   string name = p.Name;

   object val = p.GetValue(obj, null);

   propertyTable.Rows.Add(CreatePropertyRow(name, val, alternating));

   alternating = !alternating;

   }

   }

   TableRow CreatePropertyRow(string propertyName, object propertyValue)

   {

   return CreatePropertyRow(propertyName, propertyValue, false);

   }

   TableRow CreatePropertyRow(string propertyName, object value, bool alternating)

   {

   if (value == null)

   return CreateRow(propertyName, null, null, alternating);

   else

   return CreateRow(propertyName, value.ToString(), value.GetType().FullName , alternating);

   }

   TableRow CreateRow(string s1, string s2, string s3, bool alternating)

   {

   TableCell first = new TableCell();

   first.CssClass = "l";

   first.Text = Abbreviate(s1);

   TableCell second = new TableCell();

   second.Text = Abbreviate(s2);

   TableCell third = new TableCell();

   third.Text = Abbreviate(s3);

   TableRow row = new TableRow();

   if (alternating)

   row.CssClass = "s";

   row.Cells.Add(first);

   row.Cells.Add(second);

   row.Cells.Add(third);

   return row;

   }

   private string Abbreviate(string s)

   {

   if (s == null)

   return NullValue;

   string retVal = s;

   foreach (KeyValuePair<string, string> pair in s_abbreviationMap)

   {

   //

   // We only get one replacement per abbreviation call.

   // First one wins.

   //

   if (retVal.IndexOf(pair.Key) != -1)

   {

   string replacedValue = string.Format("<span title=\"{0}\">{1}</span>", pair.Key, pair.Value);

   retVal = retVal.Replace(pair.Key, replacedValue);

   break;

   }

   }

   return retVal;

   }

   //

   // ASP.NET server side callback

   //

   protected void GoGetRoles(object sender, EventArgs ea)

   {

   string[] roles = Roles.Text.Split(';');

   UpdateRolesTable(roles);

   }

   }

3. Сохраните файл под именем Default.aspx.cs в папке «C:\inetpub\wwwroot\claimapp».