知识库

Active Directory联合身份验证服务（ADFS）的身份提供程序设置

以下步骤描述了Active Directory联合身份验证服务（ADFS）的设置过程。已从运行Windows Server 2016 Standard（版本1607）的计算机上获取了方向和命令。

配置基本上包括以下两个步骤：

1）为TeamViewer单点登录服务添加ADFS信赖方信任。此步骤需要输入TeamViewer SSO服务的元数据。这可以通过以下方式之一完成：

• - 自动：这只需要输入元数据XML文件的URL。 ADFS下载该文件，并自动填写依赖方信任的所有必填字段。它要求ADFS服务器可以访问Internet。
• - 半自动：与自动方法类似，但不是提供元数据的URL，而是预先下载文件本身并将其作为XML文件提供给ADFS。如果ADFS服务器没有Internet访问权限，这将非常有用。
• - 手动：如果上述方法均不适用，则可以手动将元数据输入ADFS。

2）将转换规则添加到新依赖方信任的声明颁发策略。

以下部分使用PowerShell命令提示符和ADFS管理图形用户界面描述所有三种方案的配置：

使用PowerShell自动配置

打开新的PowerShell命令窗口并输入以下命令，以向ADFS添加具有默认声明颁发策略的新信赖方信任：

$customerId = 'Your Generated Customer Identifier'
$claimRules = @'
@RuleTemplate = "LdapClaims"
@RuleName = "TeamViewer Login"
 c:[Type ==
 "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
 Issuer == "AD AUTHORITY"]
 => issue(store = "Active Directory", types =
 ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
 "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query =
 ";objectGUID,mail;{0}", param = c.Value);
@RuleName = "TeamViewer Customer ID"
 => issue(Type = "http://sso.teamviewer.com/saml/claims/customeridentifier",
 Value = "
'@ + $customerId + '");'
Add-AdfsRelyingPartyTrust `
 -Name TeamViewer `
 -MetadataUrl https://sso.teamviewer.com/saml/metadata.xml `
 -IssuanceTransformRules $claimRules `
 -AccessControlPolicyName "Permit everyone" `
 -AutoUpdateEnabled $true `
 -MonitoringEnabled $true `
 -Enabled $true

根据需要调整“-Name”参数值（第13行）。 这是ADFS图形用户界面中显示的名称。 此外，访问控制策略的名称（第16行）可能在您的系统上有所不同。

稍后可以通过PowerShell或ADFS图形用户界面更改所有设置。

使用PowerShell进行半自动配置

这与上述“自动”方法非常相似。 它需要预先下载元数据XML文件并将其复制到ADFS服务器。

元数据文件可以从以下URL下载：

https://sso.teamviewer.com/saml/metadata.xml

以下命令假定元数据XML文件在PowerShell命令提示符的当前目录中可用作“metadata.xml”。

$customerId = 'Your Generated Customer Identifier'
$claimRules = @'
@RuleTemplate = "LdapClaims"
@RuleName = "TeamViewer Login"
 c:[Type ==
 "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
 Issuer == "AD AUTHORITY"]
 => issue(store = "Active Directory", types =
 ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
 "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query =
 ";objectGUID,mail;{0}", param = c.Value);
@RuleName = "TeamViewer Customer ID"
 => issue(Type = "http://sso.teamviewer.com/saml/claims/customeridentifier",
 Value = "
'@ + $customerId + '");'
Add-AdfsRelyingPartyTrust `
 -Name TeamViewer `
 -MetadataFile metadata.xml `
 -IssuanceTransformRules $claimRules `
 -AccessControlPolicyName "Permit everyone" `
 -Enabled $true

与“自动”方法的主要区别在于使用“-MetadataFile”参数（而不是“-MetadataUrl” - 第14行）。 省略了“-AutoUpdateEnabled”和“-MonitoringEnabled”参数，因为两者都需要给出有效的元数据URL。

使用Powershell手动配置

手动配置需要下载并提取TeamViewer SAML服务提供商的签名/加密证书的公钥。 请在下面的技术信息部分中找到有关如何获取证书的更多信息。

在PowerShell命令提示符中执行以下命令以手动添加信赖方信任：

$customerId = 'Your Generated Customer Identifier'
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(".\sso.teamviewer.com - saml.cer", "")
$claimRules = @'
@RuleTemplate = "LdapClaims"
@RuleName = "TeamViewer Login"
 c:[Type ==
 "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
 Issuer == "AD AUTHORITY"]
 => issue(store = "Active Directory", types =
 ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
 "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query =
 ";objectGUID,mail;{0}", param = c.Value);
@RuleName = "TeamViewer Customer ID"
 => issue(Type = "http://sso.teamviewer.com/saml/claims/customeridentifier",
 Value = "
'@ + $customerId + '");'
$samlEndpoints = @(
 (New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri https://sso.teamviewer.com/saml/acs -Index 0),
 (New-AdfsSamlEndpoint -Binding Redirect -Protocol SAMLAssertionConsumer -Uri https://sso.teamviewer.com/saml/acs -Index 1)
)
Add-AdfsRelyingPartyTrust `
 -Name "TeamViewer" `
 -Identifier "https://sso.teamviewer.com/saml/metadata" `
 -RequestSigningCertificate $cert `
 -EncryptionCertificate $cert `
 -SamlEndpoint $samlEndpoints `
 -IssuanceTransformRules $claimRules `
 -AccessControlPolicyName "Permit everyone" `
 -Enabled $true

另请参阅“Add-AdfsRelyingPartyTrust”PowerShell命令行开关的官方文档：https：//technet.microsoft.com/en-us/library/ee892322.aspx

使用ADFS管理工具进行半自动配置（图形化）

1. 从服务器管理器启动ADFS管理工具。
2. 导航到ADFS ➜ 依赖方信任，然后单击右侧导航窗格中的添加信赖方信任....

• - 输入元数据URL：https：//sso.teamviewer.com/saml/metadata.xml通过文件导入元数据。浏览到下载的元数据XML文件。该文件可以从上面的URL下载

12.（可选）将第二个SAML端点添加到信赖方信任。导航到“端点”选项卡，然后单击“添加SAML端点”

• - 选择SAML Assertion Consumer作为端点类型
• - 选择重定向为绑定
• - 将索引设置为1
• - 将可信URL设置为https://sso.teamviewer.com/saml/acs