WS-Federation

WS-Federation erfordert eine Lizenz.

WS-Federation unterstützt sowohl Active Directory Federation Services als auch Azure Active Directory.

Sie müssen zunächst ADFS oder AzureAD so konfigurieren, dass Universal unterstützt wird.

ADFS für Universal konfigurieren

Diensteinstellungen

Zunächst müssen Sie die Federation Service Properties aus ADFS zusammentragen. Öffnen Sie die AD FS-App (Microsoft.IdentityServer.msc). Klicken Sie anschließend auf Service und dann auf Edit Federation Service Properties.

Dadurch wird ein Dialogfeld mit den Werten für Ihren ADFS-Dienst geöffnet. Sie benötigen diese Werte für die Konfiguration von PowerShell Universal.

Relying Parties

Wenn Sie keine Reply Party Trusts konfiguriert haben, klicken Sie auf Add Replying Party Trust. Wählen Sie Claims aware.

Claims Aware

Wählen Sie Enter data about the relying party manually.

Manual Relying Party

Geben Sie einen Namen für die Relying Party an.

Relying Party Name

Aktivieren Sie das WS-Federation Passive-Protokoll. Geben Sie die URL des PowerShell Universal-Servers mit einem abschließenden Schrägstrich ein.

Geben Sie die URL Ihres PowerShell Universal-Servers ein.

Replying Party Trust Identifier

Nachdem Sie die Konfiguration Ihres Replying Party Trust abgeschlossen haben, müssen Sie eine Claim Issuance Policy einrichten. Erstellen Sie eine Issuance Transform Rule, die mindestens Name und Name ID an Universal sendet.

Sie können zusätzliche Claims konfigurieren, die Sie verwenden möchten, wenn Sie Richtlinien in Universal einsetzen.

Fehlerbehebung

MSIS7065: There are no registered protocol handlers on path /adfs/ls to process the incoming request.

Dieses Problem kann auftreten, wenn die Seite IDP Initiated Sign On deaktiviert ist. Dies ist die Standardeinstellung. Führen Sie den folgenden Befehl in einer administrativen Konsole aus.

 Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

MSIS7001: The passive protocol context was not found or not valid. If the context was stored in cookies, the cookies that were presented by the client were not valid. Ensure that the client browser is configured to accept cookies from this website and retry this request.

Konfiguration für Azure Active Directory

Folgen Sie der Dokumentation für die Azure Active Directory-Konfiguration in diesem Microsoft-Dokument.

Universal konfigurieren

Appsettings.json verwenden

Nach der Konfiguration von ADFS oder AAD können Sie Universal nun die Eigenschaften für MetadataAddress und Wtrealm bereitstellen. Lesen Sie mehr über diese Einstellungen auf unserer Einstellungen -Seite.

Hier ist ein Beispiel dafür, wie die Datei appsettings.json aktualisiert wird, um die korrekten Einstellungen für WS-Federation zu berücksichtigen.

{
  "Kestrel": {
    "Endpoints": {
      "HTTP": {
        "Url": "http://*:5000"
      }
    },
    "RedirectToHttps": "false"
  },
  "ApplicationInsights": {
    "InstrumentationKey": ""
  },
  "Logging": {
    "Path": "%PROGRAMDATA%/PowerShellUniversal/log.txt",
    "RetainedFileCountLimit": 31,
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "CorsHosts": "",
  "Data": {
    "RepositoryPath": "%ProgramData%\\UniversalAutomation\\Repository",
    "ConnectionString": "%ProgramData%\\UniversalAutomation\\database.db",
    "GitRemote": "",
    "GitUserName": "",
    "GitPassword": "", 
    "ConfigurationScript": ""
  },
  "Api": {
    "Url": ""
  },
  "Authentication" : {
    "Windows": {
      "Enabled": "false"
    },
    "WSFed": {
        "Enabled": "true",
        "MetadataAddress": "https://ironman.local:443/FederationMetadata/2007-06/FederationMetadata.xml",
        "Wtrealm": "https://ironman.local:12345",
        "CallbackPath": "/auth/signin-wsfed"
    },
    "OIDC": {
      "Enabled": "false",
      "CallbackPath": "/auth/signin-oidc",
      "ClientID": "",
      "ClientSecret": "",
      "Resource": "",
      "Authority": "",
      "ResponseType": "",
      "SaveTokens": "false"
    },
    "SessionTimeout": "25"
  },
  "Jwt": {  
    "SigningKey": "PleaseUseYourOwnSigningKeyHere",  
    "Issuer": "IronmanSoftware",
    "Audience": "PowerShellUniversal"
  },
  "UniversalDashboard": {
    "AssetsFolder": "%ProgramData%\\PowerShellUniversal\\Dashboard"
  },
  "ShowDevTools": false,
  "HideAdminConsole": false
}

Wenn Sie Ihren Server ausführen, sollten Sie nun entweder über das Single-Sign-On-System von Internet Explorer zur Eingabe Ihrer Anmeldeinformationen aufgefordert oder zur WS-Fed-Anmeldeseite weitergeleitet werden.

Authentication.ps1 verwenden

Sie können die WS-Federation-Authentifizierung in der Admin-Konsole konfigurieren. Navigieren Sie dazu zu Security \ Authentication. Fügen Sie den WS-Federation-Anbieter hinzu, indem Sie ihn aus der Dropdown-Liste oben rechts auswählen.

Bearbeiten Sie anschließend die Eigenschaften des Authentifizierungsanbieters und geben Sie die Konfigurationsdetails für Ihre ADFS-Einrichtung an.

Aktivieren Sie nach der Konfiguration den WS-Federation-Anbieter. Melden Sie sich anschließend ab und navigieren Sie zu /admin Sie werden aufgefordert, sich bei Ihrem WS-Federation-Anbieter anzumelden.