Esporta (0) Stampa
Espandi tutto

Provider di identità WS-Federation

Pubblicato: aprile 2011

Aggiornamento: marzo 2015

Si applica a: Azure

I provider di identità WS-Federation sono provider di identità personalizzati che supportano il protocollo WS-Federation e vengono configurati in Microsoft Azure Active Directory Access Control (anche noto come Servizio Access Controll o ACS) usando metadati WS-Federation. Un provider di identità WS-Federation può supportare anche altri protocolli federativi, ad esempio WS-Trust. I provider di identità WS-Federation vengono spesso usati in scenari con siti e applicazioni Web, in cui viene usato WS-Federation Passive Requestor Profile per facilitare i reindirizzamenti di token necessari da e verso ACS mediante un Web browser.

Un esempio comune di provider di identità WS-Federation è . Può essere usato per integrare gli account Active Directory dell'organizzazione con ACS. Prima di poter aggiungere e configurare come provider di identità in ACS, è necessario che sia installato e in esecuzione con almeno un trust con un provider di attestazioni, ad esempio Servizi di dominio Active Directory. Per altre informazioni, vedere Procedura: configurare ADFS 2.0 come provider di identità.

Quando si configura un provider di identità WS-Federation usando il portale di gestione ACS, è necessario specificare i dati seguenti.

  • Display name: specifica il nome visualizzato del provider di identità. Questo nome viene usato solo nel portale di gestione ACS.

  • WS-Federation metadata: contiene informazioni sulla configurazione, ovvero metadati, relativi ai servizi federativi stabiliti, quali i token e l'autorizzazione, nonché i relativi criteri di accesso. Quando si aggiunge un provider di identità WS-Federation in ACS, è necessario immettere l'URL oppure caricare una copia locale del documento dei metadati di federazione per il provider di identità WS-Federation.

    CautionAttenzione
    Importare metadati WS-Federation solo da un provider di identità WS-Federation considerato attendibile.

    Per motivi di sicurezza è consigliabile che il provider di identità WS-Federation pubblichi il documento dei metadati di federazione in un URL HTTPS. È inoltre consigliabile che il provider di identità WS-Federation usi solo endpoint di rilascio dei token HTTPS.

  • Login link text: specifica il testo visualizzato per il provider di identità nella pagina di accesso dell'applicazione Web. Per altre informazioni, vedere Pagine di accesso e individuazione dell'area di autenticazione principale.

  • Image URL (facoltativo): consente di associare un URL di un file di immagine, ad esempio un logo di propria scelta, che è possibile visualizzare come collegamento di accesso per il provider di identità. Questo logo viene visualizzato automaticamente nella pagina di accesso predefinita dell'applicazione Web compatibile con ACS, nonché nel feed JSON dell'applicazione Web che è possibile usare per eseguire il rendering di una pagina di accesso personalizzata. Se non si specifica un URL immagine, nella pagina di accesso dell'applicazione Web viene visualizzato il testo di un collegamento di accesso per il provider di identità. Se si specifica un URL immagine, è consigliabile puntarlo a una fonte attendibile, ad esempio il proprio sito o la propria applicazione Web, usando HTTPS per evitare che vengano visualizzati avvisi di sicurezza del browser. Inoltre, qualsiasi immagine di dimensioni superiori a 240 pixel di larghezza e 40 pixel di altezza viene ridimensionata automaticamente nella pagina predefinita relativa all'individuazione dell'area di autenticazione principale di ACS. È consigliabile richiedere al partner l'autorizzazione per la visualizzazione dell'immagine.

  • Email domain names (facoltativo): specifica i suffissi del dominio di posta elettronica ospitati dal provider di identità per richiedere agli utenti di eseguire l'accesso usando l'indirizzo di posta elettronica. Lasciare vuoto questo campo per visualizzare un collegamento di accesso diretto. Per separare i singoli suffissi dell'elenco, usare il punto e virgola. Per altre informazioni, vedere Pagine di accesso e individuazione dell'area di autenticazione principale.

  • Relying party applications- Specifica tutte le applicazioni relying party esistenti da associare al provider di identità. Per altre informazioni, vedere Applicazioni relying party.

Dopo l'associazione di un provider di identità a un'applicazione relying party, per completare la configurazione è necessario generare o aggiungere manualmente le regole per tale provider in un gruppo di regole dell'applicazione relying party. Per altre informazioni sulla creazione delle regole, vedere Gruppi di regole e regole.

Dopo l'autenticazione con un provider di identità, l'utente riceve un token contenente le attestazioni di identità. Le attestazioni sono informazioni relative all'utente, ad esempio un indirizzo e-mail o un ID univoco. ACS può passare queste attestazioni direttamente all'applicazione relying party oppure decidere di concedere l'autorizzazione in base ai valori in esse contenuti.

Per impostazione predefinita, i tipi di attestazione in ACS vengono identificati in modo univoco usando un URI per conformità con la specifica di token SAML. Gli URI vengono usati anche per identificare le attestazioni in altri formati di token.

Per i provider di identità WS-Federation, i tipi di attestazione disponibili sono determinati dai metadati WS-Federation relativi al provider di identità importati in ACS. Al termine dell'importazione, i tipi di attestazione disponibili per il provider di identità sono visibili nella pagina Edit Claim Rule del portale di gestione ACS. I tipi di attestazione sono inoltre visibili tramite l'entità ClaimType nel servizio di gestione ACS.

Oltre ai tipi di attestazione disponibili tramite i metadati WS-Federation, in ACS vengono sempre rilasciate le attestazioni riportate di seguito per ciascun provider di identità WS-Federation.

 

Tipo di attestazione URI Descrizione

ID nome

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier

Identificatore univoco dell'account utente, fornito dal provider di identità.

Provider di identità

http://schemas.microsoft.com/accesscontrolservice/2010/07/claims/IdentityProvider

Attestazione fornita da ACS per comunicare all'applicazione relying party che l'utente ha eseguito l'autenticazione usando il provider di identità selezionato. Il valore di questa attestazione è visibile nel portale di gestione ACS mediante il campo Realm disponibile nella pagina Edit Identity Provider.

noteNota
I provider di identità WS-Federation possono inoltre rilasciare ad ACS tipi di attestazione non elencati esplicitamente nel documento di metadati WS-Federation del provider di identità. In tal caso, l'URI del tipo di attestazione previsto può essere immesso manualmente in una regola anziché selezionato. Per altre informazioni sulle regole, vedere Gruppi di regole e regole.

I certificati di firma dei token X.509 per un provider di identità WS-Federation solo elencati nella pagina relativa al provider nel portale di gestione ACS. È importante monitorare i certificati e assicurarsi che siano validi e che vengono sostituiti prima della scadenza.

Per visualizzare i certificati per un provider di identità WS-Federation:

  1. Nel portale di gestione ACS fare clic su Identity providers.

  2. Fare clic sul provider di identità WS-Federation.

  3. Passare alla sezione Token Signing Certificates nella parte inferiore della pagina.

Per altre informazioni sulla gestione dei certificati per i provider di identità WS-Federation, vedere WS-Federation identity provider certificate.

Vedere anche

Aggiunte alla community

AGGIUNGI
Microsoft sta conducendo un sondaggio in linea per comprendere l'opinione degli utenti in merito al sito Web di MSDN. Se si sceglie di partecipare, quando si lascia il sito Web di MSDN verrà visualizzato il sondaggio in linea.

Si desidera partecipare?
Mostra:
© 2015 Microsoft