simplesamlphp에서 idp로 ADFS 2를 사용하도록 설정하는 방법

Question

simplesamlphp 1.8에서 ADFS 2를 IdP로 사용하려고합니다.

이제 "인증 소스 테스트"-> "기본 -sp"를 선택한 후 로그인을 허용하지 않는 브라우저 NTLM 인증 대화 상자를 가져올 때 심각하게 고생했습니다. (https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml /admin/metadata-converter.php로 변환)/config.php를

메타 데이터

'default-sp' => array(
     'saml:SP', 
     'privatekey' => 'saml.pem', 
     'certificate' => 'saml.crt', 
     'idp' => 'http://fs.example.org/adfs/services/trust', 
    ), 

/saml20-IDP-remote.php

$metadata['http://fs.example.com/adfs/services/trust'] = array (
    'entityid' => 'http://fs.example.com/adfs/services/trust', 
    'contacts' => 
    array (
), 
    'metadata-set' => 'saml20-idp-remote', 
    'SingleSignOnService' => 
    array (
    0 => 
    array (
     'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect', 
     'Location' => 'https://fs.example.com/adfs/ls/', 
    ), 
    1 => 
    array (
     'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST', 
     'Location' => 'https://fs.example.com/adfs/ls/', 
    ), 
), 
    'SingleLogoutService' => 
    array (
    0 => 
    array (
     'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect', 
     'Location' => 'https://fs.example.com/adfs/ls/', 
    ), 
    1 => 
    array (
     'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST', 
     'Location' => 'https://fs.example.com/adfs/ls/', 
    ), 
), 
    'ArtifactResolutionService' => 
    array (
), 
    'keys' => 
    array (
    0 => 
    array (
     'encryption' => true, 
     'signing' => false, 
     'type' => 'X509Certificate', 
     'X509Certificate' => 'MIIC3DCCA....', 
    ), 
    1 => 
    array (
     'encryption' => false, 
     'signing' => true, 
     'type' => 'X509Certificate', 
     'X509Certificate' => 'MIIC1j....', 
    ), 
), 
); 

ADFS에서 Config에서

청구 규칙 "모든 사용자에게 액세스 허용"및 변환 규칙 "전자 메일 주소 -> 이름 ID"가 있습니다.

진행 방법에 대한 아이디어가 있습니까?

Answer 1

실제 문제는 DNS 레코드를 설정하는 동안 CNAME fs.example.com을 dc.exampledomain.com에 만들었습니다. CNAME 레코드를 A 레코드 인증으로 대체 한 후 인증이 통과되었습니다.

이

는 전체 문제를 해결하지만, 나는 또한 SHA-256 대신 자 속성을 의존에서 SHA-1과 같은 보안 해시 알고리즘을 설정하는 데 필요한 :)

점점 붙어 부분을 대답하지 않았다.