- Created by Vladislav Fomichev, last modified on Mar 29, 2019
You are viewing an old version of this page. View the current version.
Compare with Current View Page History
« Previous Version 2 Current »
Компонент ADFS Extension реализует провайдер мультифакторной аутентификации для сервера Microsoft ADFS, добавляя в процесс получения доступа второй фактор.
Информация
Файлы для Indeed ADFS Extension расположены: indeed AM 7\Indeed ADFS Extension\<Номер версии>\
- IndeedId.ADFS.Extension-v1.0.2.x64.ru-ru.msi - Пакет для установки Indeed ADFS Extension
Установка и настройка ADFS Extension.
- Выполнить установку Indeed ADFS Extension через запуск инсталлятора IndeedId.ADFS.Extension-v1.0.2.x64.ru-ru.msi.
Создайте конфигурационный файл MFAAdapter.json, содержащий следующие параметры.
Информация
ModeId может иметь разные ID провайдеров:
{EBB6F3FA-A400-45F4-853A-D517D89AC2A3} - SMS OTP
{093F612B-727E-44E7-9C95-095F07CBB94B} - EMAIL OTP
{F696F05D-5466-42b4-BF52-21BEE1CB9529} - Passcode
{0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0} - Software TOTP
{AD3FBA95-AE99-4773-93A3-6530A29C7556} - HOTP Provider
{CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05} - TOTP Provider
Пример{ "ServerType":"eaNet", "EANetServerURL":"http://YourDomainName/easerver/", "ModeId":"{0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}", "LSUrl":"http://YourDomainName/ils/api", "LSEventCacheDirectory": "C:\\EventCacheEa\\" }
Настройка при использовании SMS OTP Provider.
Информация
По умолчанию номер телефона получается из атрибута "telephoneNumber".
Для смены атрибута по умолчанию необходимо добавить параметры в конфигурационный файл сервера (C:\inetpub\wwwroot\easerver\Web.config).
Добавить тег "userMapRules" в теге "adUserCatalogProvider".
- Добавить тег "adObjectMapRule" в теге "userMapRules"с параметрами:
- "attribute="Phone"" - Указывает на изменяемый параметр.
- "adAttribute="mobile"" - Указывает с какого атрибута AD брать значение.
- Добавить тег "objectTypeSettings".
Добавить тег "objectSetting" с параметрами "category="person" class="user""
Пример<adUserCatalogProvider id="userId" serverName="ind.loc" containerPath="DC=ind,DC=loc" userName="userAdmin" password="Q1q2E3e4"> <userMapRules> <adObjectMapRule attribute="Phone" adAttribute="mobile"/> <objectTypeSettings> <objectSetting category="person" class="user"></objectSetting> </objectTypeSettings> </userMapRules> </adUserCatalogProvider>
Настройка при использовании EMAIL OTP Provider.
Информация
По умолчанию адрес электронной почты получается из атрибута "mail".
Для смены атрибута по умолчанию необходимо добавить параметры в конфигурационный файл сервера (C:\inetpub\wwwroot\easerver\Web.config).
Добавить тег "userMapRules" в теге "adUserCatalogProvider".
- Добавить тег "adObjectMapRule" в теге "userMapRules"с параметрами:
- "attribute="Email"" - Указывает на изменяемый параметр.
- "adAttribute="otherMailbox"" - Указывает с какого атрибута AD брать значение.
- Добавить тег "objectTypeSettings".
Добавить тег "objectSetting" с параметрами "category="person" class="user""
Пример<adUserCatalogProvider id="userId" serverName="ind.loc" containerPath="DC=ind,DC=loc" userName="userAdmin" password="Q1q2E3e4"> <userMapRules> <adObjectMapRule attribute="Email" adAttribute="otherMailbox"/> <objectTypeSettings> <objectSetting category="person" class="user"></objectSetting> </objectTypeSettings> </userMapRules> </adUserCatalogProvider>
Запустите PowerShell с правами администратора. Для регистрации адаптера введите следующие данные:
Информация
YourPatch\MFAAdapter.json - укажите свой полный путь к конфигурационному файлу созданному ранее.
Информация
В переменной $typeName, в параметре Version указывается номер версии используемого Indeed ADFS Extension.
Пример$typeName = "IndeedId.ADFS.MFAAdapter.MFAAdapter, IndeedId.ADFS.MFAAdapter, Version=1.0.6.0, Culture=neutral, PublicKeyToken=1ebb0d9282100d91" Register-AdfsAuthenticationProvider -TypeName $typeName -Name "Indeed Id MFA Adapter" -ConfigurationFilePath ‘YourPatch\MFAAdapter.json’
Для удаления адаптера необходимо выполнить следующую команду:
ПримерUnregister-AdfsAuthenticationProvider -Name "Indeed Id MFA Adapter"
Для обновления конфигурации необходимо выполнить следующую команду:
ПримерImport-AdfsAuthenticationProviderConfigurationData -Name "Indeed Id MFA Adapter" -FilePath ‘YourPatch\MFAAdapter.json’
Включение многофакторной аутентификации для ADFS.
- Откройте консоль управления AD FS.
- Выберите "Служба → Методы проверки подлинности", в окне "Действия" выберите "Изменить Методы многофакторной проверки..."
- В вкладке "Многофакторная" выберите созданный ранее провайдер и нажмите "Применить".
- Выберите "Отношение доверия проверяющей стороны" и нажмите "Добавить отношение доверия проверяющей стороны...".
- На вкладке "Добро пожаловать!" выберите "Поддерживающие утверждения" и нажмите "Запустить".
На вкладке "Выбор источника данных" укажите URL адрес вашего приложения и нажмите "Далее".
Информация
В качестве примера работы расширения используется стандартная страница ADFS idpinitiatedsignon.htm. Адрес метаданных используется для данной страницы.
- На вкладке "Указание отображаемого имени" введите имя и описание для вашего отношения доверия и нажмите "Далее".
- На вкладке "Выбрать политику управления доступом" выберите подходящую вам политику с запросом MFA, из предложенных по умолчанию, также вы можете добавить произвольные политики контроля доступа.
- Остальные параметры оставьте по умолчанию.
- Для применения изменений перезапустите службу AD FS.
Пример работы расширения.
Информация
По умолчанию страница idpinitiatedsignon.htm отключена в AD FS 2016, для включения запустите PowerShell от имени администратора и выполните команду:
Set-AdfsProperties –EnableIdpInitiatedSignonPage $True
- Откройте тестовую страницу ADFS: https://YourDomainName/adfs/ls/idpinitiatedsignon.htm
- Выполните вход.
- После ввода доменного логин/пароля укажите данные для второго фактора.
- После корректного ввода данных будет выполнен вход.
- No labels