Réclamations WindowsDeviceGroup

Question

ADFS 2016 prend en charge un nouveau type de revendication "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsdevicegroup" qui contient les identificateurs de groupe de périphériques Windows. Comment puis-je diffuser les revendications sur une simple demande ASP.Net revendications revendications? Je suis sur VS 2015, .Net 4.6. Quelles sont les conditions minimales pour saisir ce type de revendication et sa valeur auprès d'ADFS afin que je puisse l'utiliser. Tout extrait de code serait très apprécié.

J'ai besoin d'aide pour obtenir le code qui peut faire quelque chose comme ça, mais pour un périphérique Windows -

ClaimType - http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsdevicegroup, ClaimValue - S-1-21-5-xxxx-xyyyy-zzzzzz.

Où S-1-21-5-xxxx-xyyyy-zzzzzz est le SID d'un groupe dont l'ordinateur est membre. En outre, est-il possible que ce type de revendication puisse être utilisé avec ADFS 2012R2?

Answer 1

Ceci utilise le modèle d'authentification composé qui a été publié dans le cadre de WS2012 Active Directory. Voir https://www.microsoft.com/en-us/download/confirmation.aspx?id=36830 pour plus de détails à ce sujet. Recherchez la section d'authentification composée. Ensuite, vous devez transmettre les revendications nécessaires en modifiant l'approbation du fournisseur de revendications d'ADFS pour "Active Directory". Vous avez maintenant ces revendications qui peuvent être consommées par une application en aval.

Notez que cela fonctionne avec Kerberos. Ainsi, seulement si le client est à l'intérieur du réseau d'entreprise avec une visibilité directe sur le contrôleur de domaine correctement activé, ce cas d'utilisation s'illumine.

Merci // Sam (@MrADFS)