Metadados do ADFS com atributos do Active Directory

Question

Usando o ADFS no Windows 2012 R2. Eu criei um Relaying Party Trust que tem uma regra de declaração definida que mapeia um Atributo do Active Directory para um atributo nomeado no sistema de fornecedores.

Quando visualizo o arquivo federationmetadata.xml, percebo que esses atributos não estão presentes, apenas os itens listados em "Descrições de declaração" estão presentes.

Isso é normal? Aparentemente, o sistema Application Vendors está usando o PingFederate e eles esperam que esses atributos estejam presentes no arquivo de metadados.

    

Answer 1

Seguiu o conselho do suporte da Microsoft e criou os itens de descrição da reivindicação que incluíam os atributos que eu queria incluir, que estavam presentes no arquivo de metadados. A aplicação de uma Transformação de Emissão permitiu mapear valores para esses atributos.

    

Answer 2

Isso é normal. O arquivo de metadados contém as "descrições de declaração", como você diz, além dos pontos de extremidade do seu farm do ADFS, a chave pública da assinatura do token e o token que descriptografa os certificados; informações gerais sobre sua implantação. Tudo isso, mas não a configuração da parte confiável (isso seria um problema de segurança na minha opinião).

Você deve trocar arquivos de metadados com o fornecedor do aplicativo. Então você deve concordar com seu fornecedor em:

• O identificador da sua confiança
• O tipo de reivindicações que você envia
• Os valores permitidos dessas reivindicações
• Se você deseja criptografar o token entre seus sistemas