WS-Federation

WS-Federation richiede una licenza.

WS-Federation supporta sia Active Directory Federation Services sia Azure Active Directory.

Deve prima configurare ADFS o AzureAD per supportare Universal.

Configurazione di ADFS per Universal

Impostazioni del servizio

Per prima cosa, dovrà raccogliere le Federation Service Properties da ADFS. Apra l'app AD FS (Microsoft.IdentityServer.msc). Quindi, faccia clic su Service e poi su Edit Federation Service Properties.

Verrà aperta una finestra di dialogo con i valori del suo servizio ADFS. Avrà bisogno di questi valori per configurare PowerShell Universal.

Relying Parties

Se non ha configurato alcun Reply Party Trusts, faccia clic su Add Replying Party Trust. Selezioni Claims aware.

Claims Aware

Selezioni Enter data about the relying party manually.

Manual Relying Party

Specifichi un nome per la relying party.

Relying Party Name

Abiliti il protocollo WS-Federation Passive. Inserisca l'URL del server PowerShell Universal con una barra finale.

Inserisca l'URL del suo server PowerShell Universal.

Replying Party Trust Identifier

Dopo aver completato la configurazione della Replying Party Trust, dovrà impostare una Claim Issuance Policy. Crei una Issuance Transform Rule che invii a Universal almeno il Name e il Name ID.

Può configurare ulteriori claim che desidera utilizzare se sta usando le policy in Universal.

Risoluzione dei problemi

MSIS7065: There are no registered protocol handlers on path /adfs/ls to process the incoming request.

Questo problema può verificarsi se la pagina IDP Initiated Sign On è disabilitata. Questa è l'impostazione predefinita. Esegua il comando seguente da una console amministrativa.

 Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

MSIS7001: The passive protocol context was not found or not valid. If the context was stored in cookies, the cookies that were presented by the client were not valid. Ensure that the client browser is configured to accept cookies from this website and retry this request.

Configurazione per Azure Active Directory

Segua la documentazione per la configurazione di Azure Active Directory disponibile in questo documento Microsoft.

Configurazione di Universal

Usare Appsettings.json

Dopo aver configurato ADFS o AAD, può ora fornire a Universal le proprietà per MetadataAddress e Wtrealm. Legga informazioni su queste impostazioni nella nostra pagina Impostazioni .

Ecco un esempio di come aggiornare il file appsettings.json per applicare le impostazioni corrette per WS-Federation.

{
  "Kestrel": {
    "Endpoints": {
      "HTTP": {
        "Url": "http://*:5000"
      }
    },
    "RedirectToHttps": "false"
  },
  "ApplicationInsights": {
    "InstrumentationKey": ""
  },
  "Logging": {
    "Path": "%PROGRAMDATA%/PowerShellUniversal/log.txt",
    "RetainedFileCountLimit": 31,
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "CorsHosts": "",
  "Data": {
    "RepositoryPath": "%ProgramData%\\UniversalAutomation\\Repository",
    "ConnectionString": "%ProgramData%\\UniversalAutomation\\database.db",
    "GitRemote": "",
    "GitUserName": "",
    "GitPassword": "", 
    "ConfigurationScript": ""
  },
  "Api": {
    "Url": ""
  },
  "Authentication" : {
    "Windows": {
      "Enabled": "false"
    },
    "WSFed": {
        "Enabled": "true",
        "MetadataAddress": "https://ironman.local:443/FederationMetadata/2007-06/FederationMetadata.xml",
        "Wtrealm": "https://ironman.local:12345",
        "CallbackPath": "/auth/signin-wsfed"
    },
    "OIDC": {
      "Enabled": "false",
      "CallbackPath": "/auth/signin-oidc",
      "ClientID": "",
      "ClientSecret": "",
      "Resource": "",
      "Authority": "",
      "ResponseType": "",
      "SaveTokens": "false"
    },
    "SessionTimeout": "25"
  },
  "Jwt": {  
    "SigningKey": "PleaseUseYourOwnSigningKeyHere",  
    "Issuer": "IronmanSoftware",
    "Audience": "PowerShellUniversal"
  },
  "UniversalDashboard": {
    "AssetsFolder": "%ProgramData%\\PowerShellUniversal\\Dashboard"
  },
  "ShowDevTools": false,
  "HideAdminConsole": false
}

Quando esegue il server, ora le dovrebbero essere richieste le credenziali tramite il sistema di single-sign-on di Internet Explorer oppure verrà reindirizzato alla pagina di accesso WS-Fed.

Usare Authentication.ps1

Può configurare l'autenticazione WS-Federation nella console di amministrazione. Per farlo, vada a Security \ Authentication. Aggiunga il provider WS-Federation selezionandolo dal menu a discesa in alto a destra.

Successivamente, modifichi le proprietà del provider di autenticazione e specifichi i dettagli di configurazione per la sua installazione ADFS.

Una volta configurato, abiliti il provider WS-Federation. Quindi, effettui il logout e navighi su /admin Le verrà richiesto di accedere al suo provider WS-Federation.