WS-Federation

WS-Federation requiere una licencia.

WS-Federation admite tanto Active Directory Federation Services como Azure Active Directory.

Primero debe configurar ADFS o AzureAD para que admita Universal.

Configurar ADFS para Universal

Configuración del servicio

En primer lugar, deberá recopilar las propiedades del servicio de federación desde ADFS. Abra la aplicación AD FS (Microsoft.IdentityServer.msc). A continuación, haga clic en Service y después en Edit Federation Service Properties.

Esto abrirá un cuadro de diálogo con los valores de su servicio ADFS. Necesitará estos valores para configurar PowerShell Universal.

Relying parties

Si no tiene ninguna Reply Party Trust configurada, haga clic en Add Replying Party Trust. Seleccione Claims aware.

Claims Aware

Seleccione Enter data about the relying party manually.

Relying party manual

Especifique un nombre para el relying party.

Nombre del relying party

Habilite el protocolo WS-Federation Passive. Introduzca la URL del servidor de PowerShell Universal con una barra al final.

Introduzca la URL de su servidor de PowerShell Universal.

Identificador de la confianza del relying party

Tras finalizar la configuración de su Replying Party Trust, deberá configurar una Claim Issuance Policy. Cree una Issuance Transform Rule que envíe al menos el Name y el Name ID a Universal.

Puede configurar claims adicionales que desee utilizar si está usando políticas en Universal.

Solución de problemas

MSIS7065: There are no registered protocol handlers on path /adfs/ls to process the incoming request.

Este problema puede producirse si la página IDP Initiated Sign On está desactivada. Este es el valor predeterminado. Ejecute el siguiente comando desde una consola administrativa.

 Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

MSIS7001: The passive protocol context was not found or not valid. If the context was stored in cookies, the cookies that were presented by the client were not valid. Ensure that the client browser is configured to accept cookies from this website and retry this request.

Configurar para Azure Active Directory

Siga la documentación de la configuración de Azure Active Directory que se encuentra en este documento de Microsoft.

Configurar Universal

Usar Appsettings.json

Después de configurar ADFS o AAD, ya puede proporcionar a Universal las propiedades para MetadataAddress y Wtrealm. Consulte estos ajustes en nuestra página Configuración .

Aquí tiene un ejemplo de cómo actualizar el fichero appsettings.json para adaptarlo a los ajustes correctos para WS-Federation.

{
  "Kestrel": {
    "Endpoints": {
      "HTTP": {
        "Url": "http://*:5000"
      }
    },
    "RedirectToHttps": "false"
  },
  "ApplicationInsights": {
    "InstrumentationKey": ""
  },
  "Logging": {
    "Path": "%PROGRAMDATA%/PowerShellUniversal/log.txt",
    "RetainedFileCountLimit": 31,
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "CorsHosts": "",
  "Data": {
    "RepositoryPath": "%ProgramData%\\UniversalAutomation\\Repository",
    "ConnectionString": "%ProgramData%\\UniversalAutomation\\database.db",
    "GitRemote": "",
    "GitUserName": "",
    "GitPassword": "", 
    "ConfigurationScript": ""
  },
  "Api": {
    "Url": ""
  },
  "Authentication" : {
    "Windows": {
      "Enabled": "false"
    },
    "WSFed": {
        "Enabled": "true",
        "MetadataAddress": "https://ironman.local:443/FederationMetadata/2007-06/FederationMetadata.xml",
        "Wtrealm": "https://ironman.local:12345",
        "CallbackPath": "/auth/signin-wsfed"
    },
    "OIDC": {
      "Enabled": "false",
      "CallbackPath": "/auth/signin-oidc",
      "ClientID": "",
      "ClientSecret": "",
      "Resource": "",
      "Authority": "",
      "ResponseType": "",
      "SaveTokens": "false"
    },
    "SessionTimeout": "25"
  },
  "Jwt": {  
    "SigningKey": "PleaseUseYourOwnSigningKeyHere",  
    "Issuer": "IronmanSoftware",
    "Audience": "PowerShellUniversal"
  },
  "UniversalDashboard": {
    "AssetsFolder": "%ProgramData%\\PowerShellUniversal\\Dashboard"
  },
  "ShowDevTools": false,
  "HideAdminConsole": false
}

Al ejecutar su servidor, ahora se le solicitarán sus credenciales, ya sea mediante el sistema de inicio de sesión único de Internet Explorer, o se le redirigirá a la página de inicio de sesión de WS-Fed.

Usar Authentication.ps1

Puede configurar la autenticación WS-Federation en la consola de administración. Para ello, vaya a Security \ Authentication. Añada el proveedor WS-Federation seleccionándolo en el menú desplegable de la esquina superior derecha.

A continuación, edite las propiedades del proveedor de autenticación y especifique los detalles de configuración de su instalación de ADFS.

Una vez configurado, habilite el proveedor WS-Federation. A continuación, cierre la sesión y vaya a /admin Se le pedirá que inicie sesión en su proveedor WS-Federation.