将 ADFS 2.0 和 3.0 SP 与 OAM 集成 IdP

本文介绍了如何将 ADFS 2.0/3.0 作为 SP 和 OAM 作为 IdP 进行集成。确保读取包含先决条件的内容。

SAML 2.0 集成基于：

ADFS 2.0 在 Windows 2008 R2 中可用，而 ADFS 3.0 在 Windows 2012 R2 中可用。该文章显示了 ADFS 3.0 的屏幕截图，而记录的步骤适用于这两个版本。

ADFS 设置

要在 ADFS SP 中将 OAM 添加为 IdP，请执行以下步骤：

转到部署了 ADFS 的计算机。
如果使用 ADFS 2.0
- 单击开始菜单、程序、管理工具、 AD FS 2.0 管理
- 展开 ADFS 2.0 、信任关系
如果使用 ADFS 3.0
- 在 "Server Manager"（服务器管理器）中，单击 Tools（工具）， AD FS Management（AD FS 管理）
- 展开 AD FS 、信任关系
右键单击索赔提供商信托，然后选择添加索赔提供商信托。

此时将显示“添加索赔提供商信任”窗口

单击启动。
从文件中选择“导入有关索赔提供商的数据”。
单击“浏览”并选择本地 OAM IdP SAML 2.0 元数据文件（OAM 端点需要 SSL 终止，否则 ADFS 不会导入元数据。请参见有关 SSL 的先决条件文章 )。

单击下一步。
输入索赔规则的名称。
选择 NameID 作为传入索赔类型。
选择“电子邮件”作为传入名称 ID 格式。
如果要接受任何电子邮件地址，请选择“通过所有声明”如果只想接受一组特定的电子邮件地址（在此示例中，选择此选项，因为所有用户都将具有 @acme.com 电子邮件地址），请仅通过与特定电子邮件后缀值匹配的声明值。

如先决条件文章中所述，如果要将 ADFS 配置为使用/接受 SHA-1 签名，请执行以下步骤（注意：如果未将 ADFS 配置为使用/接受 SHA-1 签名，则必须将 OAM 配置为将 SHA-256 用于签名）：

要在 OAM 中将 ADFS 添加为 SP 合作伙伴，请执行以下步骤：

如先决条件文章中所述，如果要将 OAM 配置为对签名使用 SHA-256，请执行以下步骤（注：如果未将 OAM 配置为对签名使用 SHA-256，则必须将 ADFS 配置为使用/接受 SHA-1 签名）：

通过执行 $IAM_ORACLE_HOME/common/bin/wlst.sh 进入 WLST 环境。
连接到 WLS 管理服务器：connect()。
导航到域运行时分支：domainRuntime()。
执行 configureFedDigitalSignature() 命令：configureFedDigitalSignature(partner="PARTNER_NAME", partnerType="idp/sp", algorithm="SHA-256/SHA-1")。
将 PARTNER_NAME 替换为添加的合作伙伴的名称
1. 将 partnerType 设置为 idp 或 sp
2. 将算法设置为 SHA-256 或 SHA-1。例如：configureFedDigitalSignature(partner="ADFSSP", partnerType="sp”, algorithm="SHA-256")
退出 WLST 环境：exit()。

要进行测试，请访问 OAM IdP 启动的 SSO 页面：

URL:http(s)://oam-runtime-host:oam-runtimeport/oamfed/idp/initiatesso?providerid=PARTNER_NAME
将 PARTNER_NAME 替换为 SP 合作伙伴的名称

例如：https://acme.com/oamfed/idp/initiatesso?providerid=ADFSSP

您将通过 SAML 断言重定向到 ADFS SP