將 ADFS 2.0 和 3.0 IdP 與 OAM SP 整合

本文將說明如何將 ADFS 2.0/3.0 整合為 IdP，以及將 OAM 整合為 SP。在繼續處理文章之前，請務必先閱讀先決條件。SAML 2.0 整合的基礎如下：

ADFS 2.0 可在 Windows 2008 R2 中使用，而 ADFS 3.0 可在 Windows 2012 R2 中使用。文章將顯示 ADFS 3.0 的螢幕截圖，而記載的步驟將套用至兩個版本。

ADFS 設定

若要在 ADFS IdP 中將 OAM 新增為 SP，請執行下列步驟：

  1. 移至已部署 ADFS 2.0 的機器。

    1. 如果使用 ADFS 2.0

      1. 按一下開始功能表、程式集、管理。

      2. Tools 、 AD FS 2.0 管理

      3. 展開 ADFS 2.0 ，信任關係

    2. 如果使用 ADFS 3.0

      1. 在「伺服器管理員」中，按一下工具、 AD FS 管理

      2. 展開 AD FS 、信任關係

      3. 在信賴憑證者信任上按一下滑鼠右鍵，然後選取新增信賴憑證者信任。

      「新增信賴憑證者信任」視窗便會顯示。

      Add_Relying_Party_Trust.jpg 圖解說明

  2. 按一下開始。

  3. 從檔案選取匯入信賴方的資料。

  4. 按一下瀏覽並從本機機器選取 OAM SP SAML 2.0 描述資料檔案 (OAM 端點必須終止 SSL)，否則 ADFS 將不會匯入描述資料。請參閱 SSL 的必要條件文章。

    5. Import_File_Option.jpg 圖解說明

  5. 按一下下一步。

  6. 輸入新「OAM SAML 2.0 服務提供者」的名稱。

    7. Specify_Display_Name.jpg 圖解說明

  7. 如果使用 ADFS 3.0，請執行下列步驟：

  8. 按下一步。

    9. 下一個畫面顯示選擇性的多重因素認證設定值區段

  9. 依照您的需求選取選項。

  10. 按下一步。

  11. 選取「允許所有使用者存取此信賴方」。

    圖解 Permit_all_users.jpg 的說明

  12. 按下一步。

    13. 便會顯示摘要視窗。

    summary_window.jpg 圖解說明

  13. 按下一步。

  14. 保持「開啟編輯索賠」方塊已勾選。

    15. Edit_Claims_Rules.jpg 圖解說明

  15. 按一下關閉。

    16. 「編輯規則」視窗便會顯示。

    Edit_Rule_Window.jpg 圖解說明

  16. 按一下新增規則：我們將設定 ADFS 從 LDAP 擷取使用者的電子郵件地址，並將其納入為 EmailAddress SAML 屬性。

  17. 選取「傳送 LDAP 屬性作為宣告」。

    18. Select_Rule_Template.jpg 圖解說明

  18. 按下一步。

  19. 輸入「宣告規則」的名稱。

  20. 選取 Active Directory 作為「屬性存放區」。

  21. 由於我們使用「電子郵件地址」作為 NameID，因此在第一列中，選取「電子郵件地址」作為 LDAP 屬性，選取「電子郵件地址」作為「外送宣告類型」。

    22. Configure_Rule.jpg 圖解說明

  22. 按一下完成。便會顯示規則清單。

    23. list_of_rules.jpg 圖解說明

    [Description of the illustration list_of_rules.jpg](files/list_of_rules.txt)

  23. 按一下新增規則：我們將轉換 SAML 屬性 EmailAddress，使其成為格式設為電子郵件地址的 NameID。

  24. 選取「轉換傳入申請給付」。

    25. Transform_Incoming_Claim.jpg 圖解說明

  25. 按下一步。

  26. 輸入規則的名稱。

  27. 選取電子郵件地址作為傳入索賠類型。

  28. 選取 NameID 作為「傳出請款類型」。

  29. 選取電子郵件作為外送名稱 ID 格式。

  30. 選取「通過所有申請給付」值。

    31. Add_Transform_Claim.jpg 圖解說明

  31. 按一下完成。就會顯示宣告規則清單。

  32. 按一下確定。

    33. list_of_claim_rules.jpg 圖解說明

如先決條件文章所述，如果您要設定 ADFS 使用 / 接受 SHA-1 簽章，請執行下列步驟

注意：如果您未將 ADFS 設定為使用 / 接受 SHA-1 簽章，則必須將 OAM 設定為使用 SHA-256 進行簽章：

  1. 移至已部署 ADFS 的機器

  2. 如果使用 ADFS 2.0：

    1. 按一下開始功能表、程式集、管理工具、 AD FS 2.0 管理。

    2. 展開 ADFS 2.0 ，信任關係。

  3. 如果使用 ADFS 3.0

    1. 在「伺服器管理員」中，按一下工具、 AD FS 管理

    2. 展開 AD FS 、信任關係

  4. 以滑鼠右鍵按一下新建立的信賴方並選取特性。

  5. 選取進階頁籤。

  6. 選取 SHA-1。

  7. 按一下確定。

Secure_Hash_Algorithm.jpg 圖解說明

如先決條件文章所述，如果您決定停用 ADFS IdP 的解密，請執行下列步驟：

  1. 前往已部署 ADFS 的機器。

  2. 如果使用 ADFS 2.0。

    1. 按一下開始功能表、程式集、管理工具、 Windows PowerShell 模組

  3. 如果使用 ADFS 3.0

    1. 按一下開始功能表、管理工具、 Windows 的 Active Directory 模組 PowerShell

  4. 執行下列指令 (將 RP_NAME 取代為用來在 ADFS 中建立合作夥伴的 SP 名稱)：set-ADFSRelyingPartyTrust -TargetName "RP_NAME" -EncryptClaims $False

例如：set-ADFSRelyingPartyTrust -TargetName "ACME SP" -EncryptClaims $False

OAM 設定

若要在 OAM 中將 ADFS 新增為 IdP 合作夥伴，請執行下列步驟：

  1. 前往「OAM 管理主控台」：http (s)：//oam-admin-host:oam-adminport/oamconsole。

  2. 瀏覽至 Identity Federation 、服務提供者管理。

  3. 按一下建立身分識別提供者夥伴按鈕。

  4. 在「建立」畫面中：

    1. 輸入夥伴的名稱。

    2. 如果未指定 IdP 夥伴，請檢查啟動「聯合 SSO」作業時，是否應預設使用此夥伴作為 IdP。(在此範例中，我們將將其設為預設的 IdP)。

    3. 選取 SAML 2.0 作為通訊協定。

  5. 按一下「載入描述資料」並上傳「IdP 宣告對應」段落的 SAML 2.0 描述資料檔案：

    1. 選擇性設定應使用的「OAM 識別存放區」( 注意：在範例中，我們將欄位留白以使用預設的「OAM 識別存放區」)。

    2. 選擇性設定使用者搜尋基準 DN ( 注意：在範例中，我們將欄位留白，以使用「識別存放區」中設定的使用者搜尋基準 DN)。

    3. 選取對應發生的方式 ( 注意：在範例中，我們正透過 NameID 將宣告對應至 LDAP 郵件屬性)。

  6. 選取要用來將內送 SAML 宣告中屬性的名稱對應至本機名稱的屬性設定檔。請參閱 IdP 屬性設定檔的相關文章以取得詳細資訊。在此範例中，使用預設的 IdP 屬性設定檔。

  7. 按一下儲存。

OIF_Setup.jpg 圖解說明

如先決條件文章中所述，如果您要設定 OAM 使用 SHA-256 進行簽章，請執行下列步驟 (注意：如果您不設定 OAM 使用 SHA-256 進行簽章，則必須將 ADFS 設定為使用 / 接受 SHA-1 簽章)：

  1. 執行以下步驟來輸入 WLST 環境：$IAM_ORACLE_HOME/common/bin/wlst.sh。

  2. 連線「WLS 管理」伺服器：connect()。

  3. 瀏覽至「網域程式實際執行」分支：domainRuntime()。

  4. 執行 configureFedDigitalSignature() 命令：configureFedDigitalSignature(partner="PARTNER_NAME", partnerType="idp/sp", algorithm="SHA-256/SHA-1")。

    1. 以新增的合作夥伴名稱取代 PARTNER_NAME。

    2. 將 partnerType 設為 idp 或 sp。

    3. 將演算法設為 SHA-256 或 SHA-1。範例為：configureFedDigitalSignature(partner="ADFSIdP", partnerType="idp", algorithm="SHA-256")。

  5. 結束 WLST 環境：exit()。

如先決條件文章中所述，如果您決定不停用對 ADFS IdP 的強式加密，請確定 OAM 環境中已安裝 JCE Unlimited Strength Jitutional 政策 \les。

測試

若要測試整合，請：

其他學習資源

探索 docs.oracle.com/learn 上的其他實驗室，或存取 Oracle Learning YouTube 頻道上的更多免費學習內容。此外，瀏覽 education.oracle.com/learning-explorer 成為 Oracle Learning Explorer。

如需產品文件，請造訪 Oracle Help Center 。