iT邦幫忙

3

ADFS 學習系列 (1) - Install ADFS on Windows Server 2016

最近被指派要將 ADFS 徹底摸透, 從最基本的 ADFS 安裝, 到 ADFS 管理, OAuth 整合, ADFS 遷移與升級, ADFS 維運以及 Troubleshooting 等主題都要清楚, 因此我準備把學習的筆記記錄下來, 作為參考文件.

第一的部分從建立單機版的 ADFS 步驟開始.

1. 環境準備

(1) 本範例以 Windows Server 2016 為安裝 ADFS 的作業系統, 因此需要安裝好 Windows Server 2016, 並且加入網域中

(2) 憑證: 可以使用公開憑證作為 ADFS 憑證使用, 也可以使用 CA Server 發行憑證 (本篇筆記以 CA Server 發行憑證為範例), 如果要使用 CA Server, 請確認企業內部有 Enterprise 憑證主機

2. 為 ADFS 準備憑證

ADFS 可以使用公開憑證(需要花錢購買), 也可以使用 CA Server 發行憑證, 以下步驟為 CA Server 與 ADFS Server 請求憑證的步驟

2.1 建立 ADFS Certificate Template

(1) 登入 CA Server, 從 Tool 中開啟 Certification Authority 管理中心

https://ithelp.ithome.com.tw/upload/images/20190402/201118715XGV3a5wgJ.png

(2) 在 CA 管理中心 Console 中選取 Certificate Templates 按右鍵, 選取 Manage

https://ithelp.ithome.com.tw/upload/images/20190402/20111871xnOY3PNDHk.png

(3) 在憑證 Templates 中選取 Web Server 按右鍵, 選取 Duplicate Template

https://ithelp.ithome.com.tw/upload/images/20190402/20111871ecE677Ch1W.png

(4) 開啟屬性視窗, 選取 General, 輸入 ADFS Template 作為 Template 名稱

https://ithelp.ithome.com.tw/upload/images/20190402/20111871FUKquTF5H4.png

(5) 選取 Security 頁籤, 新增 帳戶選項

https://ithelp.ithome.com.tw/upload/images/20190402/20111871KVPvOlHx9M.png

(6) 輸入 Domain Computers 群組

https://ithelp.ithome.com.tw/upload/images/20190402/201118710djHjgydwa.png

(7) 選取 Enroll 權限

https://ithelp.ithome.com.tw/upload/images/20190402/20111871mitasbxDJi.png

(8) 選取 Request Handling 頁籤, 勾選 Allow private key to be exported 選項允許匯出 Private key

https://ithelp.ithome.com.tw/upload/images/20190402/20111871Gtyrd1eJHZ.png

(9) 完成後 ADFS Template 出現在列表中

https://ithelp.ithome.com.tw/upload/images/20190402/201118711P7J6KEwsk.png

(10) 回到 CA 管理 Console, 選取 Certificate Templates 按右鍵, 選取 New, 並選取 Certificate Template to Issue

https://ithelp.ithome.com.tw/upload/images/20190402/20111871UeRtvG51JU.png

(11) 選取 ADFS Template 進行啟用

https://ithelp.ithome.com.tw/upload/images/20190402/20111871rdnP4YMqGD.png

(12) ADFS Tempate 便完成在 CA Server 新增的作業

https://ithelp.ithome.com.tw/upload/images/20190402/20111871NZA3r6byIC.png

2.2 申請 ADFS 憑證

(1) 登入 ADFS 主機, 開啟命令提示視窗, 輸入命令 certlm, 開啟本機電腦憑證管理員

https://ithelp.ithome.com.tw/upload/images/20190402/20111871HYnqNjAL8h.png

(2) 選取 Personal > Certificates 按右鍵, 選取 All Tasks, 再選取 Request New Certificate...

https://ithelp.ithome.com.tw/upload/images/20190402/20111871stn0lrxaOW.png

(3) 根據設定精靈, 進行設置

https://ithelp.ithome.com.tw/upload/images/20190402/20111871zQLFHTYyUQ.png

(4) 選取 Active Directory Enrollment Policy

https://ithelp.ithome.com.tw/upload/images/20190402/20111871DHGCAHlBZT.png

(5) 選取 ADFS Template, 並點選 More information is required to enroll for this certificate. Click here to configure settings.

如果沒有看到 ADFS Template 選項, 請先執行 GPUpdate /force, 或將 CA 跟憑證匯入 ADFS 主機 Trusted Root Authority

https://ithelp.ithome.com.tw/upload/images/20190402/20111871Kt07mI9TuF.png

(6) 在憑證屬性中, Subject name 欄位, 請選擇 Common name Type, Alternative name 欄位, 請選擇 DNS Type, 並且加入以下的設定值:

a. CN: adfs.yourdomain.com

b. DNS: adfsservername.yourdomain.com, adfs.yourdomain.com, enterpriseregistration.yourdomain.com, certauth.adfs.yourdomain.com

https://ithelp.ithome.com.tw/upload/images/20190402/201118718mUgmaQapo.png

(7) 設定 ADFS certificateFriendly name

https://ithelp.ithome.com.tw/upload/images/20190402/20111871CR7hKuAmqN.png

(8) 選擇 ADFS Template 並進行 Enroll

https://ithelp.ithome.com.tw/upload/images/20190402/20111871C5u0NfsEr5.png

(9) Enroll 成功便完成憑證請求與安裝

https://ithelp.ithome.com.tw/upload/images/20190402/20111871RFEbm79G7k.png

(10) ADFS 憑證會出現在 Personal > Certificates 列表中

https://ithelp.ithome.com.tw/upload/images/20190402/20111871k6F6r8q0o8.png

2.3 將 KDS Root Key 加入至 Group Managed Service Account

(1) 登入 AD Server, 開啟 PowerShell, 使用以下指令新增 KDS Root Keygroup managed service account

Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10)

https://ithelp.ithome.com.tw/upload/images/20190402/20111871JwthkpVbOJ.png

(2) 使用以下指令建立 group managed service account

New-ADServiceAccount FsGmsa -DNSHostName adfs.asabuludemo.com -ServicePrincipalNames http/adfs.asabuludemo.com

(3) 為 ADFS 設定 SPN, 指令如下:

setspn -s host/adfs.asabuludemo.com asabuludemo\FsGmsa$

https://ithelp.ithome.com.tw/upload/images/20190402/20111871c56HyggJzf.png

2.4 在 DNS Server 加入 ADFS A record

在 DNS 主機上加入一筆 A Record 如下:

https://ithelp.ithome.com.tw/upload/images/20190402/20111871GQfVIW5F2x.png

2.5 安裝 ADFS

(1) 開啟 Windows Add Roles and Features 精靈

https://ithelp.ithome.com.tw/upload/images/20190402/20111871lJ17YQ4QHu.png

https://ithelp.ithome.com.tw/upload/images/20190402/20111871Fy9RPiST0J.png

https://ithelp.ithome.com.tw/upload/images/20190402/20111871tT7bi6NvJx.png

(2) 新增 Active Directory Federation Service

https://ithelp.ithome.com.tw/upload/images/20190402/20111871IkkuZPX4Yk.png

https://ithelp.ithome.com.tw/upload/images/20190402/20111871rDs0BXwccq.png

https://ithelp.ithome.com.tw/upload/images/20190402/201118718IZIOpPmNC.png

https://ithelp.ithome.com.tw/upload/images/20190402/20111871APdLl8cdxu.png

(3) 依照精靈安裝完成後, 選取 Configure the federation service on this server 進行 ADFS 設定

https://ithelp.ithome.com.tw/upload/images/20190402/20111871s5pUuZvU7W.png

2.6 設定 ADFS

(1) 開啟 ADFS 設定精靈, 選取 Create the first feder ation seerver in a federation server farm

https://ithelp.ithome.com.tw/upload/images/20190402/20111871P7Y89QuvuF.png

(2) 輸入 AD domain administrator 帳戶

https://ithelp.ithome.com.tw/upload/images/20190402/201118716Lvdw8u7hZ.png

(3) 選取 ADFS 憑證(adfs.yourdomain.com), 服務名稱 adfs.yourdomain.com, 以及 Federation 服務名稱 (通常是組織名稱)

https://ithelp.ithome.com.tw/upload/images/20190402/20111871ndCVqXdqcU.png

(4) 在 服務帳戶 設定, 選取 Use an existing domain user account or group Manageed Service Account, 選取前面建立的 group managed service account.

https://ithelp.ithome.com.tw/upload/images/20190402/20111871WhaAtpl4pT.png

(5) 指定 SQL Server

https://ithelp.ithome.com.tw/upload/images/20190402/20111871k47jsmhiWD.png

(6) 依照精靈步驟完成安裝

https://ithelp.ithome.com.tw/upload/images/20190402/20111871IwOdj0gZTs.png

https://ithelp.ithome.com.tw/upload/images/20190402/201118719EJ5vmZHlm.png

https://ithelp.ithome.com.tw/upload/images/20190402/20111871AZzdYb9fQm.png

(7) 安裝完成後需要 重新啟動 ADFS 主機

https://ithelp.ithome.com.tw/upload/images/20190402/20111871F4CMv66zja.png

2.7 啟用登入頁面

重啟 ADFS 主機後, 開啟 PowerShell, 執行以下的指令, 啟用登入頁面

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

2.8 測試 ADFS 登入

(1) 開啟 Browser, 輸入以下的網址, 測試登入, 點選 Sign in Button

https://adfs.yourdomain.com/adfs/ls/idpinitiatedsignon.htm

https://ithelp.ithome.com.tw/upload/images/20190402/20111871GQmP8bH1VI.png

(2) 輸入帳號進行登入

https://ithelp.ithome.com.tw/upload/images/20190402/20111871aBOyMjoPYq.png

(3) 登入完成後, 會看到 You are signed in. 訊息, 表示 ADFS 安裝正確

https://ithelp.ithome.com.tw/upload/images/20190402/20111871eDilziuuYJ.png


Reference


1 則留言

【**此則訊息已被站方移除**】

我要留言

立即登入留言