简体中文版经机器翻译而成,仅供参考。如与英语版出现任何冲突,应以英语版为准。

在 AD FS 中创建依赖方信任

您必须使用 Active Directory 联合身份验证服务( AD FS )为系统中的每个管理节点创建依赖方信任。您可以使用 PowerShell 命令,从 StorageGRID 导入 SAML 元数据或手动输入数据来创建依赖方信任。

您需要什么? #8217 ;将需要什么
  • 您已为 StorageGRID 配置单点登录,并选择了 * AD FS* 作为 SSO 类型。

  • 在网格管理器的单点登录页面上选择了 * 沙盒模式 * 。请参见 使用沙盒模式

  • 您知道系统中每个管理节点的完全限定域名(或 IP 地址)和依赖方标识符。您可以在 StorageGRID 单点登录页面上的管理节点详细信息表中找到这些值。

    注 您必须为 StorageGRID 系统中的每个管理节点创建依赖方信任。对每个管理节点拥有依赖方信任,可确保用户可以安全地登录和注销任何管理节点。
  • 您有在 AD FS 中创建依赖方信任的经验,也可以访问 Microsoft AD FS 文档。

  • 您正在使用 AD FS 管理单元,并且属于管理员组。

  • 如果您要手动创建依赖方信任,则可以获得为 StorageGRID 管理界面上传的自定义证书,或者知道如何从命令 Shell 登录到管理节点。

以下说明适用于 Windows Server 2016 AD FS 。如果您使用的是其他版本的 AD FS ,则会注意到操作步骤 略有不同。如果您有任何疑问,请参见 Microsoft AD FS 文档。

使用 Windows PowerShell 创建依赖方信任

您可以使用 Windows PowerShell 快速创建一个或多个依赖方信任。

步骤
  1. 从 Windows 开始菜单中,右键选择 PowerShell 图标,然后选择 * 以管理员身份运行 * 。

  2. 在 PowerShell 命令提示符处,输入以下命令:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"[]

    • 对于 ` Admin_Node_Identifier` ,请输入管理节点的依赖方标识符,就像它显示在 Single Sign-On 页面上一样。例如, SG-DC1-ADM1

    • 对于 ` Admin_Node_FQDN_` ,输入同一管理节点的完全限定域名。(如有必要,您可以改用节点的 IP 地址。但是,如果您在此处输入 IP 地址,请注意,如果此依赖方信任的 IP 地址发生更改,您必须更新或重新创建此信任。)

  3. 在 Windows Server Manager 中,选择 * 工具 * > * AD FS 管理 * 。

    此时将显示 AD FS 管理工具。

  4. 选择 * AD FS* > * 依赖方信任 * 。

    此时将显示依赖方信任列表。

  5. 向新创建的依赖方信任添加访问控制策略:

    1. 找到您刚刚创建的依赖方信任。

    2. 右键单击信任,然后选择 * 编辑访问控制策略 * 。

    3. 选择访问控制策略。

    4. 选择 * 应用 * ,然后选择 * 确定 *

  6. 将款项申请发放策略添加到新创建的相关方信任:

    1. 找到您刚刚创建的依赖方信任。

    2. 右键单击此信任,然后选择 * 编辑款项申请发放策略 * 。

    3. 选择 * 添加规则 * 。

    4. 在选择规则模板页面上,从列表中选择 * 将 LDAP 属性作为声明发送 * ,然后选择 * 下一步 * 。

    5. 在配置规则页面上,输入此规则的显示名称。

      例如,将 * 对象 GUID 更改为名称 ID* 。

    6. 对于属性存储,选择 * Active Directory* 。

    7. 在映射表的 LDAP 属性列中,键入 * 对象 GUID* 。

    8. 在映射表的传出款项申请类型列中,从下拉列表中选择 * 名称 ID* 。

    9. 选择 * 完成 * ,然后选择 * 确定 * 。

  7. 确认元数据已成功导入。

    1. 右键单击依赖方信任以打开其属性。

    2. 确认已填充 * 端点 * , * 标识符 * 和 * 签名 * 选项卡上的字段。

      如果缺少元数据,请确认联合元数据地址是否正确,或者只需手动输入值即可。

  8. 重复上述步骤,为 StorageGRID 系统中的所有管理节点配置依赖方信任。

  9. 完成后,返回到 StorageGRID 并测试所有相关方信任,以确认其配置正确。请参见 使用沙盒模式 有关说明,请参见。

通过导入联合元数据创建依赖方信任

您可以通过访问每个管理节点的 SAML 元数据来导入每个依赖方信任的值。

步骤
  1. 在 Windows Server Manager 中,选择 * 工具 * ,然后选择 * AD FS 管理 * 。

  2. 在操作下,选择 * 添加依赖方信任 * 。

  3. 在 Welcome 页面上,选择 * 声明感知 * ,然后选择 * 开始 * 。

  4. 选择 * 导入有关依赖方的在线或本地网络上发布的数据 * 。

  5. 在 * 联合元数据地址(主机名或 URL ) * 中,键入此管理节点的 SAML 元数据的位置:

    https://Admin_Node_FQDN/api/saml-metadata

    对于 ` Admin_Node_FQDN_` ,输入同一管理节点的完全限定域名。(如有必要,您可以改用节点的 IP 地址。但是,如果您在此处输入 IP 地址,请注意,如果此依赖方信任的 IP 地址发生更改,您必须更新或重新创建此信任。)

  6. 完成依赖方信任向导,保存依赖方信任并关闭该向导。

    注 输入显示名称时,请使用管理节点的相关方标识符,与网格管理器的 Single Sign-On 页面上显示的完全相同。例如, SG-DC1-ADM1
  7. 添加声明规则:

    1. 右键单击此信任,然后选择 * 编辑款项申请发放策略 * 。

    2. 选择 * 添加规则 * :

    3. 在选择规则模板页面上,从列表中选择 * 将 LDAP 属性作为声明发送 * ,然后选择 * 下一步 * 。

    4. 在配置规则页面上,输入此规则的显示名称。

      例如,将 * 对象 GUID 更改为名称 ID* 。

    5. 对于属性存储,选择 * Active Directory* 。

    6. 在映射表的 LDAP 属性列中,键入 * 对象 GUID* 。

    7. 在映射表的传出款项申请类型列中,从下拉列表中选择 * 名称 ID* 。

    8. 选择 * 完成 * ,然后选择 * 确定 * 。

  8. 确认元数据已成功导入。

    1. 右键单击依赖方信任以打开其属性。

    2. 确认已填充 * 端点 * , * 标识符 * 和 * 签名 * 选项卡上的字段。

      如果缺少元数据,请确认联合元数据地址是否正确,或者只需手动输入值即可。

  9. 重复上述步骤,为 StorageGRID 系统中的所有管理节点配置依赖方信任。

  10. 完成后,返回到 StorageGRID 并测试所有相关方信任,以确认其配置正确。请参见 使用沙盒模式 有关说明,请参见。

手动创建依赖方信任

如果您选择不导入依赖部件信任的数据,则可以手动输入值。

步骤
  1. 在 Windows Server Manager 中,选择 * 工具 * ,然后选择 * AD FS 管理 * 。

  2. 在操作下,选择 * 添加依赖方信任 * 。

  3. 在 Welcome 页面上,选择 * 声明感知 * ,然后选择 * 开始 * 。

  4. 选择 * 手动输入有关依赖方的数据 * ,然后选择 * 下一步 * 。

  5. 完成依赖方信任向导:

    1. 输入此管理节点的显示名称。

      为了确保一致性,请使用管理节点的依赖方标识符,与网格管理器的单点登录页面上显示的一致。例如, SG-DC1-ADM1

    2. 跳过此步骤可配置可选令牌加密证书。

    3. 在配置 URL 页面上,选中 * 启用对 SAML 2.0 WebSSO 协议的支持 * 复选框。

    4. 键入管理节点的 SAML 服务端点 URL :

      https://Admin_Node_FQDN/api/saml-response

      对于 ` Admin_Node_FQDN_` ,输入管理节点的完全限定域名。(如有必要,您可以改用节点的 IP 地址。但是,如果您在此处输入 IP 地址,请注意,如果此依赖方信任的 IP 地址发生更改,您必须更新或重新创建此信任。)

    5. 在配置标识符页面上,指定同一管理节点的依赖方标识符:

      ` 管理节点标识符 _`

      对于 ` Admin_Node_Identifier` ,请输入管理节点的依赖方标识符,就像它显示在 Single Sign-On 页面上一样。例如, SG-DC1-ADM1

    6. 查看设置,保存依赖方信任并关闭向导。

      此时将显示编辑款项申请发放策略对话框。

    注 如果未显示此对话框,请右键单击此信任,然后选择 * 编辑款项申请发放策略 * 。
  6. 要启动 Claim Rule 向导,请选择 * 添加规则 * :

    1. 在选择规则模板页面上,从列表中选择 * 将 LDAP 属性作为声明发送 * ,然后选择 * 下一步 * 。

    2. 在配置规则页面上,输入此规则的显示名称。

      例如,将 * 对象 GUID 更改为名称 ID* 。

    3. 对于属性存储,选择 * Active Directory* 。

    4. 在映射表的 LDAP 属性列中,键入 * 对象 GUID* 。

    5. 在映射表的传出款项申请类型列中,从下拉列表中选择 * 名称 ID* 。

    6. 选择 * 完成 * ,然后选择 * 确定 * 。

  7. 右键单击依赖方信任以打开其属性。

  8. 在 * 端点 * 选项卡上,为单点注销( SLO )配置端点:

    1. 选择 * 添加 SAML * 。

    2. 选择 * 端点类型 * > * SAML 注销 * 。

    3. 选择 * 绑定 * > * 重定向 * 。

    4. 在 * 可信 URL* 字段中,输入用于从此管理节点单点注销( SLO )的 URL :

      https://Admin_Node_FQDN/api/saml-logout

    对于 ` Admin_Node_FQDN_` ,输入管理节点的完全限定域名。(如有必要,您可以改用节点的 IP 地址。但是,如果您在此处输入 IP 地址,请注意,如果此依赖方信任的 IP 地址发生更改,您必须更新或重新创建此信任。)

    1. 选择 * 确定 * 。

  9. 在 * 签名 * 选项卡上,指定此依赖方信任的签名证书:

    1. 添加自定义证书:

      • 如果您已将自定义管理证书上传到 StorageGRID ,请选择此证书。

      • 如果您没有自定义证书,请登录到管理节点,转到管理节点的 ` /var/local/mgmt-api` 目录,然后添加 custom-server.crt 证书文件。

        • 注: * 不建议使用管理节点的默认证书( server.crt )。如果管理节点出现故障,则在恢复节点时将重新生成默认证书,您需要更新依赖方信任。

    2. 选择 * 应用 * ,然后选择 * 确定 * 。

      依赖方属性将被保存并关闭。

  10. 重复上述步骤,为 StorageGRID 系统中的所有管理节点配置依赖方信任。

  11. 完成后,返回到 StorageGRID 并测试所有相关方信任,以确认其配置正确。请参见 使用沙盒模式 有关说明,请参见。