Question

我有一个在某些情况下使用ADFS身份验证的项目。从数据库读取配置，并且URL与客户不同，因此有许多配置选项我无法在Web.config中进行硬编码。

问题是我收到以下错误：

ID1032：当AudienceUriMode设置为“Always”或“BearerKeyOnly”时，必须在SamlSecurityTokenRequirement中指定至少一个'audienceUri'

但我总是得不到它，我无法重现它。这很烦人，因为我无法真正调试它，只要我无法重现它。而且我不确定我是否做的一切都是正确的。也许一些ADFS专家可以看看它。

（当然，我的依赖方与其相应的ADFS服务器之间的信任已经建立。）

这是我的代码（只有它的有趣部分），请询问是否有任何遗漏或不清楚。

我Web.config的一些摘录：

<system.webServer>
  <modules>
    <add name="WSFederationAuthenticationModule" type="Microsoft.IdentityModel.Web.WSFederationAuthenticationModule, Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" preCondition="managedHandler" />
    <add name="SessionAuthenticationModule" type="Microsoft.IdentityModel.Web.SessionAuthenticationModule, Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" preCondition="managedHandler" />
    <add name="ClaimsPrincipalHttpModule" type="Microsoft.IdentityModel.Web.ClaimsPrincipalHttpModule, Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" preCondition="managedHandler" />
    <!-- ... -->
  </modules>
  <!-- ... -->
</system.webServer>

<microsoft.identityModel>
  <service>
    <securityTokenHandlers>
      <remove type="Microsoft.IdentityModel.Tokens.SessionSecurityTokenHandler" />
      <add type="MyProject.MachineKeySessionSecurityTokenHandler" />
    </securityTokenHandlers>
    <federatedAuthentication>
      <wsFederation passiveRedirectEnabled="false"
                    issuer="https://fail/IssuerEndpoint"
                    realm="https://fail/FederationResult"
                    homeRealm="https://fail"
                    requireHttps="true" />
    </federatedAuthentication>
  </service>
</microsoft.identityModel>

每个请求都会覆盖那些失败值（请参阅下面的Login()方法），但我必须在Web.config中指定一些内容，因此我选择指定至少有效的URI。必须替换默认的SessionSecurityTokenHandler，因为我的服务在具有DNS Round-Robin（共享相同的机器密钥）的多台计算机上运行。

然后我有一个名为AdfsTrustFilter的课程，它实现了IAuthorizationFilter。我知道这有点开销，但由于项目结构，这个过滤器用作每个请求的全局过滤器（顺序是整个项目中的最小值）。在OnAuthorization方法中，我按如下方式完成配置：

public sealed class AdfsTrustFilter : IAuthorizationFilter
    public void OnAuthorization(AuthorizationContext filterContext)
        // ...

        var fam = FederatedAuthentication.WSFederationAuthenticationModule;

        fam.ServiceConfiguration = new ServiceConfiguration
        {
            AudienceRestriction = new AudienceRestriction(AudienceUriMode.Always),
            CertificateValidationMode = X509CertificateValidationMode.PeerOrChainTrust,
            // MyIssuerNameRegistry checks whether a fingerprint is known and some other stuff
            IssuerNameRegistry = new MyIssuerNameRegistry()
        };

        // config.OwnPath contains something like "https://my.app.com/AppRoot/"
        fam.ServiceConfiguration.AudienceRestriction.AllowedAudienceUris.Add(new Uri(config.OwnPath));
    }
}

这是启动身份验证的代码：

public ActionResult Login()
{
    // ...

    // again something like "https://my.app.com/AppRoot/"
    string baseUrl = Config.OwnPath.TrimEnd('/') + "/";

    // adfs endpoint for this customer: i.e. "https://identity.provider.net/adfs/ls/"
    string endpoint = Config.AdfsConfig.IdentityProvider.Endpoint;

    // the code behind FederationResult is shown below
    var signIn = new SignInRequestMessage(new Uri(endpoint), baseUrl + "/Adfs/FederationResult")
                        {
                            Context = baseUrl
                        };

    var url = signIn.WriteQueryString();

    return Redirect(url);
}

最后是FederationResult回调：

public ActionResult FederationResult()
{
    WSFederationAuthenticationModule fam = FederatedAuthentication.WSFederationAuthenticationModule;
    HttpRequest request = System.Web.HttpContext.Current.Request;

    if (fam.CanReadSignInResponse(request, true))
    {
        var id = (IClaimsIdentity) User.Identity;

        // do something
    }

    // ...
}

P.S。：ADFS服务器最近从2008 R2升级到2012年，但这并没有改变任何东西。 ADFS版本始终为2.0。

Answer 1

由于异常表明您需要audienceUri，我首先要在

下添加一个

 <microsoft.IdentityModel>
    <service>
       <audienceUris>
          <add value="https://yourdomain/theaudienceuri" />

audienceUri是Uri adfs返回您的应用程序。您可以覆盖引擎以接受任意返回结果，这不会改变您在配置中确实需要至少一个uri的事实。

有时ADFS例外：ID1032“必须指定至少一个'audienceUri'......”

1 个答案: