問題タブ [thinktecture-ident-server]

Thinktecture IdentityServer と WCF サービスを使用して SAML2 STS をセットアップしています。アイデアは、Thinktecture にアサーションを提供させ、それを WCF サービスで使用することです。

これで、SAML 11 アサーション - urn:oasis:names:tc:SAML:1.0:assertion で問題なく実行できました。

アサーションは次のようなものです。

現在、要件は、以前のバージョンではなく、SAML2 を使用することです。したがって、Thinktecture でトークン タイプを変更するのは簡単で、新しいアサーションは問題なく生成され、クライアントによって問題なく選択されます。

新しい SAML2 アサーション:

しかし、新しいアサーションを渡して WCF を使用しようとすると、例外が発生します。

• XmlException: BinarySecretSecurityToken の 'urn:oasis:names:tc:SAML:2.0:assertion' 名前空間で、'' ValueType を持つ 'Assertion' 要素からトークンを読み取れません。この要素が有効であると予想される場合は、指定された名前、名前空間、および値の型を持つトークンを消費するようにセキュリティが構成されていることを確認してください

WCF web.config の抜粋を次に示します。

では、何が間違っているのでしょうか?

Thinktecture Identity Server (IdSrv) を R-STS と IP-STS の両方として使用し、O365 / WAAD テントを追加の IP-STS として使用するシナリオがあります。ユーザーは、IdSrv の Home Realm Discovery 機能を使用して、使用する ID プロバイダーを選択します。

現在、統合された WS-Federation wsignout を RP から実装するのは困難です。なぜなら、サインアウト プロセスを WAAD に対して適切に機能させることができないためです (Thinktecture IP-STS に対しては正常に機能します)。

申し訳ありませんが、サインアウトできません。不正なサインアウト リクエストを受け取りました。サインアウトする場合は、次のリンクをクリックしてください。

ACS20028: 要求されたリダイレクト URL は無効です。

wreply URL パラメータは、WAAD インスタンスが認識していない RP を指しています。

サインアウト リンクをたどろうとすると、申し訳ありませんが、サインアウトできません。不適切なリクエストを受け取りました。

ACS20026: wtrealm パラメータが欠落しているか正しくありません。

wreply が IdSrv (実際には WAAD の RP) を指すように URL を直接変更しようとしましたが、うまくいきません。

誰かがこれを機能させましたか？

現在の .NET 認証/承認製品の組み合わせから適切なアーキテクチャを見つけようとしています。オンライン情報をあまり見つけることができなかった 1 つの質問: ThinkTecture IdentityServer 2.0 フェデレーション ADFS 2 (Active Directory 資格情報を使用してドメイン ユーザーを認証する) と、IdentityServer がドメインに対してユーザーを直接認証する利点は何ですか?

私の会社では、ADFS 2 に必要な要件は 3 つしかないと思いますが、IdentityServer で十分な場合はインストールを避けたいと思います (主な理由は、IdentityServer がオープンソースであるため、デバッグ、拡張、理解が容易であるためです)。

1. 企業 (Active Directory) ユーザーのクレームベース認証。
2. Office365 SSO のサポート - Office365 と ADFS を統合するための指示があります
3. 外部 (ビジネス パートナー) ADFS サービスのフェデレーション (現在これは必要ありませんが、オプションを開いたままにしておきたいです)

この機能のうち、IdentityServer 2.0 で提供されていない、または簡単に追加できないものはありますか?

OIDC ソリューションの Thinktecture IdentityServer CodeFlowClient サンプルを見ています。実行できなくて困っています。Thinktecture.IdentityModel.Oidc プロジェクトで定義されている OpenIdConnectAuthenticationModule を使用します。このクラス内で、cookie からの oidcstate の読み取りに問題があります。次のコードを参照してください。

変数 storedState の値が null です。私が混乱しているのは、Oidcstate が AuthenticateAsync の後に呼び出される OnEndRequest に記述されていることです。AuthenticateAsync には Cookie 読み取りコードがあります。以下の OnEndRequest のコードを参照してください。

oidcstate が書かれている場所は他にないので、何を間違えたのかわかりません。oidcstate を読み取る前にどのように書き込むことができますか?

また、iodcClient 構成の appRelativeCallbackUrl フィールドは何ですか? デフォルト値は「~/oidccallback」です。AuthenticateAsync では、リクエストの AppRelativeCurrentExecutionFilePath と比較されます。以下のコードを参照してください。

「~/Home」の値を持つ必要がありますか?

これについての助けをいただければ幸いです。

よろしくベン

アプリケーションで WS フェデレーション (wsfed) とホーム領域検出 (hrd) の両方の認証方法をサポートする必要があります。Thinktecture ID サーバーをインストールしてカスタマイズしていますが、上記のシナリオを達成するのに苦労しています。<system.identityModel.services> <federationConfiguration>セクションの構成がどうあるべきかわかりません。

そこに 2 つの<wsFederation...>要素を含めることはできますか? システムはどのプロトコルを使用するかをどのように認識しますか?

また、ID サーバー側の単一ページでメソッドに結合することは可能ですか?

どんなアイデアでも大歓迎です！

ありがとう！