Configuración de los Servicios de Federación de Active Directory Mediante WS-Federation

App Builder puede integrarse con Active Directory Federation Services (AD FS) mediante el protocolo WS-Federation Passive. El protocolo WS-Federation Passive define los siguientes roles operativos:

La configuración implica los siguientes procedimientos:

1. Crear an App Builder proveedor de seguridad para AD FS
2. Cree una relación de confianza entre usuarios de confianza de AD FS para App Builder

Requisitos

Para continuar, necesitará lo siguiente:

• Acceso de administrador a AD FS.
• Acceso de administrador a App Builder.
• App Builder será necesario conectarse a AD FS a través de HTTPS para recuperar el documento de metadatos. AD FS debe usar un certificado TLS con una raíz de confianza: App Builder no se podrá recuperar el documento de metadatos si el certificado no es confiable o no es válido.
• App Builder deberá estar disponible a través de HTTPS. El proveedor de seguridad Requerir HTTPS debe estar habilitado (o se deben tomar otras medidas para garantizar que App Builder solo se puede acceder a través de HTTPS).
• Las máquinas cliente deberán configurarse para confiar en AD FS. De lo contrario, AD FS solicitará al usuario que inicie sesión.

Las instrucciones a continuación harán referencia a las siguientes propiedades:

Crear an App Builder proveedor de Seguridad para AD FS

Para crear el proveedor de seguridad, comience iniciando sesión en App Builder como administrador:

1. Navegue hasta el IDE
2. Seleccione el botón Proveedores de seguridad
3. En el panel Autenticación de usuario, haga clic en el botón + Autenticación de usuario

4. Proporcione lo siguiente:

   • Nombre: Security Provider Name(ver arriba)

     Ejemplo: ExampleADFS

   • Tipo: WS-Federation

   • Habilitado: Marcar
   • Aprovisionamiento de usuarios: Marcar para habilitar el aprovisionamiento de usuarios Just-in-Time (JIT).
   • Suministra membresía de grupo: Marcar si AD FS se ha configurado para pasar la membresía de grupo de usuarios.
   • Mostrar en el formulario de inicio de sesión: Marcar

5. Haga clic en el botón Guardar

6. En el panel Propiedades, haga clic en el botón + Propiedad

7. Proporcione lo siguiente:

   • Parámetro: MetadataAddress

   • Valor: Federation Metadata Document URL(ver arriba).

     Ejemplo: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

8. Haga clic en el ícono Guardar (Marcar marca de verificación)

9. En el panel Propiedades, haga clic en el botón + Propiedad

10. Proporcione lo siguiente:

    • Parámetro: Wtrealm

    • Valor: Wtrealm (ver arriba).

      Ejemplo: https://example.com/App Builder/signin-ExampleADFS

11. Haga clic en el icono Guardar (Marcar marca de verificación)

12. En el panel Propiedades, haga clic en el botón + Propiedad

13. Proporcione lo siguiente:

    • Parámetro: Público

    • Valor: Público (ver arriba).

      Ejemplo: https://example.com/App Builder/signin-ExampleADFS

14. Haga clic en el ícono Guardar (Marcar marca de verificación)

Además, todas las reclamaciones asignadas en AD FS deberán asignarse en App Builder por ejemplo, para mapear la reclamación de correo:

1. En el panel Reclamaciones, haga clic en el botón + Reclamación

2. Proporcione lo siguiente:

   • Identificador: Nombre del tipo de reclamo.\

     Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

   • Uso: Uso del tipo de reclamo.\

     Ejemplo: Dirección de Correo

3. Haga clic en el ícono Guardar (Marcar como favorito)

Cree una Relación de Confianza Entre Usuarios de Confianza de AD FS para App Builder

Cada instancia de App Builder debe estar registrado en AD FS como una relación de confianza de usuario autenticado. Los detalles completos de la creación, configuración y mantenimiento de relaciones de confianza de usuario autenticado no se incluyen en este documento. Para obtener información adicional que describa cómo crear una relación de confianza de usuario autenticado en AD FS, consulte el siguiente artículo de TechNet:

https://technet.microsoft.com/en-ca/library/dd807108.aspx

Para crear un fideicomiso de parte confiante se requiere la siguiente información:

• Protocolo: WS-Federation Pasivo

• URL del protocolo pasivo WS-Federation de la parte confiante: corresponde a la Passive Protocol URL(ver arriba).

  Ejemplo: https://example.com/App Builder/signin-ExampleADFS

• Identificador de confianza del usuario autenticado: corresponde al Wtrealm propiedad (ver arriba).

  Ejemplo: https://example.com/App Builder/signin-ExampleADFS

Cree una URL de Extremo de AD FS para App Builder

Cada instancia de App Builder debe estar registrado en AD FS como extremo. Cree un extremo en la pestaña Extremos de AD FS de la siguiente manera:

1. Haga clic en el botón Agregar WS-Federation.
2. Establezca el extremo como predeterminado (casilla de verificación).

3. URL de confianza: corresponde a la propiedad Wtrealm (ver arriba).

   Ejemplo: https://example.com/App Builder/signin-ExampleADFS

Mapeos de Reclamaciones (opcional)

También puede proporcionar asignaciones de notificaciones opcionales. El siguiente artículo de TechNet describe cómo crear reglas de notificaciones de confianza de usuario autenticado de AD FS:

https://technet.microsoft.com/en-us/library/dd807115.aspx

Las reclamaciones que se suelen mapear incluyen:

• Dirección de Correo - http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress- Membresía grupal - http://schemas.xmlsoap.org/claims/Group

Ver Reclamaciones para obtener información adicional sobre reclamaciones.

Solución de Problemas

Ajustes de Configuración

"error de Tiempo de Ejecución " al Hacer Clic en el Enlace "iniciar Sesión Con..."

La URL puede leerse: http://example.com/App Builder/service/authentication/external?returnUrl=...

Revise el registro de eventos de Windows. En concreto, compruebe el registro de aplicaciones en busca de advertencias de ASP.Net con un ID de evento de 1309. Es posible que encuentre una entrada con el siguiente mensaje de excepción:

Unable to get document from: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

Esto indica que App Builder no se pudo recuperar el documento de metadatos de la federación. Asegúrese de que App Builder el servidor web puede realizar una conexión HTTPS al extremo del documento de metadatos de AD FS. Asegúrese también de que el certificado TLS sea válido. Si el certificado no está firmado por una raíz de confianza, puede registrarlo manualmente.

"error de Tiempo de Ejecución " Después de Iniciar Sesión en AD FS

La URL puede leerse: http://example.com/App Builder/signin-ADFS

Revise el registro de eventos de Windows. En concreto, compruebe el registro de aplicaciones en busca de advertencias de ASP.Net con un ID de evento de 1309. Es posible que encuentre una entrada con uno de los siguientes mensajes de excepción.

Reclamación Faltante

The identity does not contain a claim matching the given type.

Esto indica que a la aserción SAML le faltan una o más reclamaciones obligatorias. Revise la configuración de la regla de reclamación.

Audiencia No Válida

IDX10214: Audience validation failed. Audiences: 'https://example.com/App Builder'. Did not match:  validationParameters.ValidAudience: 'https://example.com/App Builder/' or validationParameters.ValidAudiences: 'null'

Esto indica que la aserción SAML tiene una restricción de audiencia no válida. En este ejemplo en particular, a la audiencia le falta la barra diagonal final. Asegúrese de que el identificador de confianza de la parte autenticada sea correcto.

Imprimir la Configuración de Confianza de Usuario Autenticado de AD FS

Ejecute el siguiente comando de PowerShell desde el servidor AD FS para imprimir la configuración de confianza del usuario autenticado:

> Get-ADFSRelyingPartyTrust -Identifier https://example.com/App Builder/signin-ADFS`

The Identifier argument corresponds to the URL de protocolo pasivo (como se describe arriba).

Falta de Pertenencia al Grupo

De forma predeterminada, ADFS no incluye notificaciones de grupo en las aserciones SAML. Los administradores deben crear una o más reglas de notificaciones para incluir la pertenencia a grupos. Es posible crear una única regla de notificaciones que incluya la pertenencia a todos los grupos. Sin embargo, si se utiliza la regla "Reclamo de grupo" integrada de ADFS, se requiere una regla independiente para cada grupo.

El siguiente artículo describe cómo incluir la pertenencia a un grupo que coincida con una expresión regular (por ejemplo, grupos que comienzan con "App Builder"): http://social.technet.microsoft.com/wiki/contents/articles/8008.ad-fs-2-0-selectively-send-group-membership-s-as-a-claim.aspx

El siguiente artículo describe cómo utilizar expresiones regulares en las reglas de transformación de reclamaciones:

http://social.technet.microsoft.com/wiki/contents/articles/16161.ad-fs-2-0-using-regex-in-the-claims-rule-language.aspx

Configuración de Reclamaciones Faltante o Incorrecta

Es posible que aparezca el siguiente mensaje de error después de la autenticación:

The user account (`<nombre de usuario>`) has successfully signed in, but no available landing page has been configured for their applications.

Esto indica que la configuración del proveedor de seguridad y del extremo AD FS fue exitosa, pero significa que las reclamaciones aún no se configuraron o que se deben corregir.

Revisar las reclamaciones que se devolvieron a App Builder desde ADFS (asegúrese de que la opción Reclamaciones de la tienda esté marcada) para asegurarse de que se estén pasando las reclamaciones correctas (membresías de grupo, atributos personalizados) a App Builder y estos luego se pueden mapear en la configuración de Reclamos del Proveedor de Seguridad.