อ้างสิทธิ์เครื่องมือแก้ไขปัญหาออนไลน์ X-Ray ADFS

เมื่อคุณแก้ไขปัญหาการปรับใช้ ADFS หรือคุณกำลังทำงานร่วมกับผู้จำหน่ายบุคคลที่สามเกี่ยวกับปัญหาการรับรองความถูกต้อง หรือบางทีเมื่อคุณเพียงสนใจที่จะเจาะลึกในสภาพแวดล้อม ADFS ของคุณ Microsoft มีเครื่องมือหลายอย่างที่พร้อมใช้งานสำหรับการทดสอบ .
เมื่อต้องการเรียนรู้เพิ่มเติมเกี่ยวกับ ADFS โดยทั่วไป Active Directory Federation Services Wiki Portal ถือเป็นจุดเริ่มต้นที่ดี สำหรับเครื่องมือออนไลน์ วิธีใช้ ADFS จาก Microsoft (https://adfshelp.microsoft.com) ถือเป็นจุดเริ่มต้นที่ดี

เครื่องมือออนไลน์ที่น่าสนใจอย่างหนึ่งสำหรับการแก้ไขปัญหา ADFS เรียกว่า Claims X-Ray Claims X-Ray ประกอบด้วย Relying Party Trust (RPT) เฉพาะในสภาพแวดล้อม ADFS ของคุณ คุณสามารถเข้าสู่ระบบ RPT โดยอัตโนมัติโดยใช้เครื่องมือออนไลน์ หรือด้วยตนเองผ่านทางหน้า ADFS IdpInitiatedSignon (ตามที่กล่าวไว้ในบล็อกโพสต์ก่อนหน้าของฉัน การใช้ Active Directory Federation Services ทีละขั้นตอน)
สามารถสร้าง X-Ray Relying Party Trust ได้โดยใช้คำสั่ง PowerShell ต่อไปนี้บนเซิร์ฟเวอร์ ADFS (หลัก) ของคุณ:

[PS] C:\> {$authzRules = "=>issue(Type = `"http://schemas.microsoft.com/authorization/claims/permit`", Value = `"true`"); "
[PS] C:\> $issuanceRules = "@RuleName = `"Issue all claims`"`nx:[]=>issue(claim = x); "
[PS] C:\> $redirectUrl = "https://adfshelp.microsoft.com/ClaimsXray/TokenResponse"
[PS] C:\> $samlEndpoint = New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri $redirectUrl

[PS] C:\> Add-ADFSRelyingPartyTrust -Name "Claims X-ray" -Identifier "urn:microsoft:adfs:claimsxray" -IssuanceAuthorizationRules $authzRules -IssuanceTransformRules $issuanceRules -WSFedEndpoint $redirectUrl -SamlEndpoint $samlEndpoint

ดังที่แสดงในภาพหน้าจอต่อไปนี้:

หากคุณต้องการทดสอบ Claims X-Ray โดยใช้ oAuth คุณต้องสร้างไคลเอ็นต์ oAuth โดยใช้คำสั่ง PowerShell ต่อไปนี้อีกครั้งบนเซิร์ฟเวอร์ ADFS (หลัก) ของคุณ:

[PS] C:\> Add-AdfsClient -Name "Claims X-ray Client" -ClientId "claimsxrayclient" -RedirectUri https://adfshelp.microsoft.com/ClaimsXray/TokenResponse
[PS] C:\> if ([System.Environment]::OSVersion.Version.major -gt 6) { Grant-AdfsApplicationPermission -ServerRoleIdentifier urn:microsoft:adfs:claimsxray -AllowAllRegisteredClients -ScopeNames "openid","profile" }

เมื่อ Relying Party Trust ถูกสร้างขึ้น คุณสามารถดำเนินการต่อด้วยเครื่องมือออนไลน์เพื่อทดสอบ และพิจารณาสภาพแวดล้อมของคุณอย่างใกล้ชิดยิ่งขึ้น ในเครื่องมือ Claims X-Ray ให้ป้อนอินสแตนซ์ federation (เช่น federation.exchangelabs.nl) และคลิก Test Authentication ดังที่แสดงในภาพหน้าจอต่อไปนี้:

โดยจะเปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์ WAP ของคุณ (พฤติกรรม ADFS เริ่มต้น) ป้อนข้อมูลรับรองผู้ใช้ที่ถูกต้อง และจะแสดงโทเค็น SAML ที่ส่งคืน รวมถึงการอ้างสิทธิ์ที่มีอยู่

หากฉันทำสิ่งนี้เพื่อสภาพแวดล้อมของตัวเอง มันจะส่งคืนโทเค็นที่มีการอ้างสิทธิ์ 21 รายการซึ่งมีข้อมูลที่น่าสนใจ เช่น ที่อยู่ IP ของไคลเอนต์ต้นทาง (userip หรือ x-ms-forwarded-client-ip ที่ฉันเรียกใช้เว็บเบราว์เซอร์) ที่อยู่ IP ของเซิร์ฟเวอร์ ADFS WAP (x-ms-clientip) ประเภทของเบราว์เซอร์ที่ฉันใช้ ไม่ว่าฉันจะอยู่ในเครือข่ายองค์กรหรือไม่ก็ตาม UPN ชื่อบัญชี UPN โดยนัยและ Windows เป็นต้น การอ้างสิทธิ์สองสามข้อเหล่านี้แสดงอยู่ในภาพหน้าจอต่อไปนี้:

นอกจากนี้ คุณยังสามารถใช้เพจ IdpInitiatedSignon ได้ ตัวเลือก Claims X-Ray RPT จะถูกเพิ่มลงในเพจนี้โดยคำสั่ง PowerShell:

เมื่อคุณเข้าสู่ระบบ คุณจะเห็นโทเค็นใหม่ที่มีการอ้างสิทธิ์ที่แตกต่างกัน ขึ้นอยู่กับตำแหน่งที่คุณเข้าสู่ระบบในขณะนั้น ตัวอย่างเช่น ขณะเดินทางด้วยรถไฟ ฉันสามารถทราบได้ว่า ADFS รับรองความถูกต้องของฉันอย่างไร และมีการเรียกร้องใดบ้างสำหรับสถานการณ์เฉพาะนี้:

การใช้เครื่องมือออนไลน์ Claims X-Ray คุณสามารถทดสอบพฤติกรรมของสภาพแวดล้อม ADFS ของคุณจากไคลเอนต์ เครือข่าย ฯลฯ ต่างๆ ได้ เมื่อคุณต้องแก้ไขปัญหาสภาพแวดล้อมของคุณ หรือหากคุณเพียงสนใจ

ตัวอย่างเช่น ในขณะนี้ ฉันกำลังแก้ไขปัญหาที่เราประสบปัญหาในการใช้งาน MobileIron ซึ่งจำเป็นต้องตรวจสอบความถูกต้องกับการปรับใช้ ADFS กฎและนโยบายจาก RPT ปกติสามารถคัดลอกไปยัง Claims X-Ray RPT ได้ หลังจากนั้นคุณจะสามารถระบุพฤติกรรมของ RPT ได้ และหวังว่าจะเข้าใจว่าทำไมจึงไม่ทำงานตั้งแต่แรก

ข้อมูลมากกว่านี้

เคลม X-Ray - https://adfshelp.microsoft.com/ClaimsXray/TokenRequest