Konfigurieren von Beanspruchungsregeln für die Vertrauensstellung des Beanspruchungsanbieters

Als Beanspruchungsaussteller sendet Omnissa Access Sicherheitstoken mit Authentifizierungsbeanspruchungen an AD FS. Beanspruchungsregeln definieren den Inhalt dieser Beanspruchungen und wandeln sie in ein Format um, das von AD FS erkannt und verwendet werden kann.

Omnissa Access sendet das Namens-ID-Benutzerattribut als Authentifizierungsbeanspruchung an AD FS. Dieses Attribut weist in der von Omnissa Access ausgestellten SAML-Assertion das Format domain\samAccountName auf. AD FS erwartet jedoch stattdessen einen Wert vom Typ „WindowsAccountName“, der als domain\user formatiert ist. AD FS erwartet auch, dass Active Directory als Aussteller dieses Werts benannt wird.

Die Lösung besteht darin, eine Beanspruchungsregel zu konfigurieren, die das Namens-ID-Attribut in das Format „WindowsAccountName“ umwandelt und den benannten Aussteller von Omnissa Access in Active Directory ändert. AD FS kann dann die aus Omnissa Access eingehende Beanspruchung erkennen und verwenden.

Voraussetzungen

Hinzufügen von Omnissa Access als Beanspruchungsanbieter für AD FS

Vorgehensweise

1. Öffnen Sie bei Bedarf das Fenster „Beanspruchungsregeln bearbeiten“ auf dem AD FS-Server, indem Sie folgende Schritte ausführen.

   1. Führen Sie die AD FS-Verwaltungskonsole als Administrator aus.

   2. (AD FS 3.0) Erweitern Sie im linken Bereich den Ordner Vertrauensbeziehungen.

   3. Wählen Sie im linken Bereich Vertrauensstellungen des Beanspruchungsanbieters aus.

   4. Wählen Sie im mittleren Bereich die Vertrauensstellung des Beanspruchungsanbieters aus, die Sie für Omnissa Access erstellt haben.

   5. Klicken Sie im rechten Bereich auf Beanspruchungsregeln bearbeiten.

   

2. Klicken Sie im Fenster „Beanspruchungsregeln bearbeiten“ auf Regel hinzufügen.

   

   Der Assistent „Transformationsbeanspruchungsregel hinzufügen“ wird angezeigt.

3. Wählen Sie für Vorlage der Beanspruchungsregel die Option Beanspruchungen mithilfe einer benutzerdefinierten Regel senden aus. Klicken Sie dann auf Weiter.

   

   Die Seite „Regel konfigurieren“ wird angezeigt. Sie können jetzt eine Regel erstellen, die das eingehende Namens-ID-Attribut in den Wert „WindowsAccountName“ umwandelt, der als domain\user formatiert ist. Die Regel benennt Active Directory ebenfalls als Aussteller dieses Werts.

4. Führen Sie auf der Seite „Regel konfigurieren“ die folgenden Schritte durch.

   1. Geben Sie unter Name der Beanspruchungsregel einen beschreibenden Namen für die Regel ein.

   2. Geben Sie im Textfeld Benutzerdefinierte Regel die folgende Regel ein.

   c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", 
   Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] == 
   "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified"]
   
   
   => issue(Type = "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", 
   Issuer = "AD AUTHORITY", OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType);
   
   

   

5. Klicken Sie auf Fertig stellen.

6. Stellen Sie im Fenster „Beanspruchungsregeln bearbeiten“ sicher, dass die von Ihnen erstellte benutzerdefinierte Regel in der Liste angezeigt wird.

   

7. Klicken Sie auf Übernehmen und anschließend auf OK.

Nächste Schritte

Fahren Sie mit Konfigurieren von AD FS als Dienstanbieter für Omnissa Access fort.