AD FS 2.1 : Ajout d'un site JPlatform

• Ouvrez la console de gestion AD FS (AD FS Management)
• Cliquez sur "Add Relying Party Trust..."

Cliquez sur "Start"

Saisissez un nom et une description (valeur uniquement informative)

• Display Name : My JCMS site
• Notes : https://jcms.example.com/

Appuyez sur le bouton "Next >"

• Choisissez l'option "Permit all user to access this relying party"
• Appuyez sur le bouton "Next >"

Appuyez sur le bouton "Next >"

Appuyez sur le bouton "Close"

Appuyez sur le bouton "Add Rule ..." dans la fenêtre d'édition des revendications.

• Choisissez "Send Claims using a Custom rule" dans le menu déroulant "Claim rule template"
• Appuyez sur le bouton "Next >"

On crée une règle pour la génération d'un identifiant unique à chaque réponse d'authentification.
Saisissez les informations suivantes :

• Claim rule name : saisissez un titre évocateur, par exemple Transient NameID generation
• Custom rule, saisissez la valeur suivante
  

  c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"]
   && c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationinstant"]
   => add(store = "_OpaqueIdStore", types = ("http://mycompany/internal/sessionid"), query = "{0};{1};{2};{3};{4}", param = "useEntropy", param = c1.Value, param = c1.OriginalIssuer, param = "", param = c2.Value);
  

  
  La valeur http://mycompany/internal/sessionid est un identifiant unique sous forme d'URI, et n'a pas besoin de pointer une ressource web existante, vous pouvez saisir une valeur unique correspondant à votre société.

Appuyez sur le bouton "Finish"

• Appuyez sur le bouton "Add Rule ..."
• Puis choisissez "Transform an Incoming Claim" dans le menu déroulant "Claim rule template"
• Appuyez sur le bouton "Next >"

On crée une règle pour l'envoi de l'identifiant unique sous forme de NameID transient.
Saisissez les informations suivantes :

• Claim rule name : saisissez un titre évocateur, par exemple Transient NameID transform
• Incoming claim type : saisissez l'identifiant utilisé dans la règle précédente, http://mycompany/internal/sessionid
• Outgoing claim type : Name ID
• Outgoing name ID format : Transient Identifier

Cochez Pass through all claim values.
Appuyez sur le bouton "Finish"

• Appuyez sur le bouton "Add Rule ..."
• Puis choisissez "Send LDAP Attributes as Claims" dans le menu déroulant "Claim rule template"
• Appuyez sur le bouton "Next >"

On crée une règle pour envoyer l'attribut userPrincipalName du LDAP en tant qu'attribut de réponse SAML.
Saisissez les informations suivantes :

• Claim rule name : saisissez un titre évocateur, par exemple Send LDAP UPN as Claims
• Attribute store : choisissez Active Directory
• Ajouter un attribute :
  • LDAP Attribute: User-Principal-Name
  • Outgoing Claim Type: UPN
    Le choix UPN comme type de revendication correspond à la valeur http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn dans l'échange SAML
    Saisissez cette valeur dans la configuration du module SAML pour l'option Nom de l'attribut (aka type de revendication) du login

Appuyez sur le bouton "Finish"