WS-Federation

WS-Federation nécessite une licence.

WS-Federation prend en charge Active Directory Federation Services et Azure Active Directory.

Vous devez d'abord configurer ADFS ou AzureAD pour prendre en charge Universal.

Configuration d'ADFS pour Universal

Paramètres du service

Vous devez d'abord récupérer les propriétés du service de fédération depuis ADFS. Ouvrez l'application AD FS (Microsoft.IdentityServer.msc). Cliquez ensuite sur Service, puis sur Edit Federation Service Properties.

Une boîte de dialogue s'ouvre avec les valeurs de votre service ADFS. Vous aurez besoin de ces valeurs pour configurer PowerShell Universal.

Parties de confiance

Si aucune approbation de partie de confiance n'est configurée, cliquez sur Add Replying Party Trust. Sélectionnez Claims aware.

Claims Aware

Sélectionnez Enter data about the relying party manually.

Manual Relying Party

Spécifiez un nom pour la partie de confiance.

Relying Party Name

Activez le protocole passif WS-Federation. Entrez l'URL du serveur PowerShell Universal avec une barre oblique finale.

Entrez l'URL de votre serveur PowerShell Universal.

Replying Party Trust Identifier

Une fois la configuration de votre approbation de partie de confiance terminée, vous devez configurer une stratégie d'émission de revendications. Créez une règle de transformation d'émission qui envoie au moins le nom (Name) et l'identifiant de nom (Name ID) à Universal.

Vous pouvez configurer des revendications supplémentaires à utiliser si vous employez des stratégies dans Universal.

Résolution des problèmes

MSIS7065: There are no registered protocol handlers on path /adfs/ls to process the incoming request.

Ce problème peut survenir si la page IDP Initiated Sign On est désactivée. Il s'agit du comportement par défaut. Exécutez la commande suivante depuis une console d'administration.

 Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

MSIS7001: The passive protocol context was not found or not valid. If the context was stored in cookies, the cookies that were presented by the client were not valid. Ensure that the client browser is configured to accept cookies from this website and retry this request.

Configuration pour Azure Active Directory

Suivez la documentation de configuration d'Azure Active Directory disponible dans ce document Microsoft.

Configuration de Universal

Utilisation d'Appsettings.json

Après avoir configuré ADFS ou AAD, vous pouvez fournir les propriétés à Universal pour les champs MetadataAddress et Wtrealm. Consultez ces paramètres sur notre page Paramètres.

Voici un exemple de mise à jour du fichier appsettings.json pour appliquer les paramètres corrects pour WS-Federation.

{
  "Kestrel": {
    "Endpoints": {
      "HTTP": {
        "Url": "http://*:5000"
      }
    },
    "RedirectToHttps": "false"
  },
  "ApplicationInsights": {
    "InstrumentationKey": ""
  },
  "Logging": {
    "Path": "%PROGRAMDATA%/PowerShellUniversal/log.txt",
    "RetainedFileCountLimit": 31,
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "CorsHosts": "",
  "Data": {
    "RepositoryPath": "%ProgramData%\\UniversalAutomation\\Repository",
    "ConnectionString": "%ProgramData%\\UniversalAutomation\\database.db",
    "GitRemote": "",
    "GitUserName": "",
    "GitPassword": "", 
    "ConfigurationScript": ""
  },
  "Api": {
    "Url": ""
  },
  "Authentication" : {
    "Windows": {
      "Enabled": "false"
    },
    "WSFed": {
        "Enabled": "true",
        "MetadataAddress": "https://ironman.local:443/FederationMetadata/2007-06/FederationMetadata.xml",
        "Wtrealm": "https://ironman.local:12345",
        "CallbackPath": "/auth/signin-wsfed"
    },
    "OIDC": {
      "Enabled": "false",
      "CallbackPath": "/auth/signin-oidc",
      "ClientID": "",
      "ClientSecret": "",
      "Resource": "",
      "Authority": "",
      "ResponseType": "",
      "SaveTokens": "false"
    },
    "SessionTimeout": "25"
  },
  "Jwt": {  
    "SigningKey": "PleaseUseYourOwnSigningKeyHere",  
    "Issuer": "IronmanSoftware",
    "Audience": "PowerShellUniversal"
  },
  "UniversalDashboard": {
    "AssetsFolder": "%ProgramData%\\PowerShellUniversal\\Dashboard"
  },
  "ShowDevTools": false,
  "HideAdminConsole": false
}

Lors du démarrage de votre serveur, vous serez invité à entrer vos informations d'identification, soit via le système d'authentification unique d'Internet Explorer, soit vous serez redirigé vers la page de connexion WS-Fed.

Utilisation d'Authentication.ps1

Vous pouvez configurer l'authentification WS-Federation dans la console d'administration. Pour ce faire, accédez à Security \ Authentication. Ajoutez le fournisseur WS-Federation en le sélectionnant dans la liste déroulante en haut à droite.

Modifiez ensuite les propriétés du fournisseur d'authentification et spécifiez les détails de configuration pour votre installation ADFS.

Une fois configuré, activez le fournisseur WS-Federation. Déconnectez-vous ensuite et accédez à /admin. Vous serez invité à vous connecter à votre fournisseur WS-Federation.