2

Simplesamlphp1.8を取得してADFS2をIdPとして使用しようとしています。

ログインを受け入れないブラウザのNTLM認証ダイアログを表示すると（[認証ソースのテスト]-> [default-sp]を選択した後）、深刻な問題が発生します。

config/config.php内

'default-sp' => array(
        'saml:SP',
        'privatekey' => 'saml.pem',
        'certificate' => 'saml.crt',
        'idp' => 'http://fs.example.org/adfs/services/trust',
    ),

Metadata / saml20-idp-remote.php内（https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xmlから/admin/metadata-converter.phpで変換）

    $metadata['http://fs.example.com/adfs/services/trust'] = array (
  'entityid' => 'http://fs.example.com/adfs/services/trust',
  'contacts' => 
  array (
  ),
  'metadata-set' => 'saml20-idp-remote',
  'SingleSignOnService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'SingleLogoutService' => 
  array (
    0 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
    1 => 
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
      'Location' => 'https://fs.example.com/adfs/ls/',
    ),
  ),
  'ArtifactResolutionService' => 
  array (
  ),
  'keys' => 
  array (
    0 => 
    array (
      'encryption' => true,
      'signing' => false,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC3DCCA....',
    ),
    1 => 
    array (
      'encryption' => false,
      'signing' => true,
      'type' => 'X509Certificate',
      'X509Certificate' => 'MIIC1j....',
    ),
  ),
);

ADFSクレームルールには、「すべてのユーザーへのアクセスを許可する」と変換ルール「電子メールアドレス->名前ID」があります

どのように進めるかについてのアイデアはありますか？

4

1 に答える 1

2

実際の問題は、DNSレコードを設定しているときに、CNAMEfs.example.comをdc.exampledomain.comに作成したことです。CNAMEレコードをAレコードに置き換えた後、認証が行われました。

これは質問全体を解決しませんでしたが、行き詰まった部分に答えました:)

また、SHA-256ではなく、依存パーティのプロパティでセキュアハッシュアルゴリズムとしてSHA-1を設定する必要がありました。

于 2011-10-17T11:30:34.307 に答える