ADFS 身份验证

配置计算机以支持 ADFS，并确保您有权访问 ADFS 管理软件。请就此联系系统管理员。

配置 ADFS 以识别新的 Orchestrator 实例

注意：以下步骤对 ADFS 管理工具有效。请注意，以下过程是示例配置的简要描述。有关详细的操作，请访问官方 ADFS 文档。

1. 打开 ADFS 管理并定义新的 Orchestrator 依赖方信任，如下所示：
   1. 选择“依赖方信任” 。
   2. 在“操作”面板中，选择“添加信赖方信任” 。 系统将显示“添加信赖方信任向导” 。
   3. 在“欢迎”部分中，选择“声明感知”。
   4. 在“选择数据”部分中，选择“手动输入有关信赖方的数据”选项。
   5. 在“指定显示名称”部分的“显示名称”字段中，输入 Orchestrator 实例的 URL。
   6. 配置证书部分不需要任何特定设置，因此可以将其保持原样。
   7. 在配置 URL部分中，选择启用对 SAML 2.0 Web SSO 协议的支持，然后在信赖方 SAML 2.0 SSO 服务 URL字段中填写 Orchestrator 实例的 URL 并加上后缀 identity/Saml2/Acs。例如 https://orchestratorURL/identity/Saml2/Acs。
   8. 在“配置标识符”部分的“依赖方信任标识符”字段中，填写 Orchestrator 实例的 URL。
   9. 在选择访问控制策略部分中，确保选择允许所有人访问控制策略。
   10. 接下来的两个部分（准备添加信任和完成）不需要任何特定设置，因此可以将其保留原样。
       
   11. 新添加的信赖方信任将显示在“信赖方信任”窗口上。
   12. 确保 URL 的默认值为“Yes”（“操作”>“属性”>“端点”）。
       
       
       
       
2. 选择信赖方信任，然后从“操作”面板中选择“编辑声明颁发策略”。系统将显示“编辑声明颁发策略”向导。
3. 选择“添加规则” ，然后使用“以声明方式发送 LDAP 属性”模板和以下设置来创建新规则：
   
   

   

   
   
4. 配置 ADFS 后，以管理员身份打开 PowerShell，并运行以下命令：
   • Set-ADFSRelyingPartyTrust -TargetName "DISPLAYNAME" -SamlResponseSignature MessageAndAssertion（用步骤 1.e. 中设置的值替换 DISPLAYNAME）
   • Restart-Service ADFSSRV

设置 Orchestrator/Identity Server 以使用 ADFS 身份验证

1. 在 Orchestrator 中定义一个用户，并在“用户”页面上设置一个有效的电子邮件地址。
2. 使用 Microsoft 管理控制台将身份提供程序提供的签名证书导入 Windows 证书存储。
3. 以系统管理员身份登录到主机管理门户。
4. 选择“安全性”。
5. 在“SAML SSO”下选择“配置”。

   “ SAML SSO 配置 ”页面随即打开。

6. 进行如下设置：
   • 如果在启用集成后，如果您希望用户仅通过 SAML 集成登录，则可以选择选中“ 使用此提供程序强制自动登录 ” 复选框。
   • 在“ 显示名称” 字段中，键入要在“ 登录 ” 页面上为 SAML 登录选项显示的名称。
   • 将“ 服务提供程序实体 ID ”参数设置为 https://orchestratorURL/identity/Saml2/Acs。
   • 将“身份提供商实体 ID”参数设置为通过配置 ADFS 身份验证获得的值。
   • 将“单点登录服务 URL”参数设置为通过配置 ADFS 身份验证获得的值。
   • 选择“允许主动执行的身份验证响应”复选框。
   • 将“返回 URL”参数设置为 https://orchestratorURL/identity/externalidentity/saml2redirectcallback。
   • 将“外部用户映射策略”参数设置为 By user email。
   • 将 SAML 绑定类型 参数设置为 HTTP redirect。
   • 在“ 签名证书 ” 部分的“ 存储名称 ” 列表中，选择 “我的”。
   • 从“ 商店位置 ” 列表中，选择 LocalMachine。

   • 在“ 指纹 ”字段中，添加 Windows 证书存储中提供的指纹值。 详细信息。

     备注：

     将所有出现的 https://orchestratorURL 替换为 Orchestrator 实例的 URL。

     确保 Orchestrator 实例的 URL 不包含斜杠。始终将其填写为 https://orchestratorURL/identity 而不是 https://orchestratorURL/identity/。
7. 选择“保存”将更改保存到外部身份提供程序设置。

   页面将关闭，您将返回到“ 安全设置” 页面。

8. 选择“SAML SSO”左侧的切换开关以启用集成。
9. 重新启动 IIS 服务器。