从ADFS 3.0获取索赔并在SAML 2.0中显示给Shibboleth 2.6服务提供商（SP）

Question

我试图配置Windows Server 2012 r2 ADFS 3.0以将NameID发送到Shibboleth 2.6 SAML 2.0 SP，但我一直收到这些错误：

2016-11-15 10:07:07 WARN Shibboleth.AttributeResolver.Query [1]: can't attempt attribute query, either no NameID or no metadata to use
2016-11-15 10:07:07 INFO Shibboleth.SessionCache [1]: new session created: ID (_7e425978e43bc32c86393f518b26eb3e) IdP (https://c-adfs01.contoso.com/FederationMetadata/2007-06/FederationMetadata.xml) Protocol(urn:oasis:names:tc:SAML:2.0:protocol) Address (192.168.50.131)

我知道这与从ADFS IDP传递NameID属性并在Shibboleth SAML 2.0 SP中显示nameID有关。

我还了解到，您需要在ADFS IDP中设置一个规则来传递电子邮件地址，并将电子邮件地址转换为NameID。我已经做到了，并且有以下规则：

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
 => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");

然而，我观察到，该配置似乎只与SAML 1.0兼容，而与2.0不兼容（可能）。

因此，我继续添加name属性。我尝试了瞬态、持久和电子邮件地址，并尝试了SAML 1.0和SAML 2.0配置。

<Attribute name="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" id="NameID"/>
<Attribute name="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" id="NameID"/>
<Attribute name="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" id="NameID"/>

问题：

那么，配置ADFS IDP将名称ID发送到Shibboleth SP并在转到“我的应用程序会话”页面时显示会话属性的正确方法是什么？

具体来说，我应该期望的声明规则的正确输出是什么？Shibbolethattribute-map.xml的XML配置应该是什么样子？

https://c-app01.contoso.com/Shibboleth.sso/Session

Answer 1

解决方案：

解决方案是在依赖方的“发布转换规则”选项卡中创建两个规则。以下是需要设置的规则：

• 添加将LDAP属性作为声明发送的规则

此外，请确保“允许访问所有用户”位于“颁发授权规则”选项卡内。

说明：

添加将LDAP属性作为声明发送的规则：

• 索赔规则名称：电子邮件
• 属性存储：Active Directory
• LDAP：电子邮件地址到电子邮件地址的映射

这将映射电子邮件地址。

添加规则以转换传入声明：

• 声明规则名称：EmailToNameID
• 传入索赔类型：电子邮件地址
• 传出声明类型：名称ID
• 传出姓名ID格式：电子邮件
• 确保选择了“传递索赔值”。

上面的“转换传入索赔”设置将为您提供以下索赔规则：

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
 => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");

之后，您可以配置属性映射。xml类似：

<Attribute name="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" id="Email"/> 

我的错误：

我发现我的索赔规则中的每个设置都是正确的，除了电子邮件和电子邮件名称的规则应该在依赖方的“发布转换规则”选项卡下。