Практическое руководство. Добавление клиента Azure AD в качестве поставщика удостоверений

  • Статья

Обновлено: 19 июня 2015 г.

Область применения: Azure

Применяется к

  • Microsoft Azure Active Directory Access Control (также называется Access Control Service или ACS)

Обзор

В этом разделе объясняется, как добавить клиент Azure Active Directory (AD) в список поставщиков удостоверений в пространстве имен контроль доступа. Эта функция позволяет использовать клиент в качестве поставщика удостоверений для приложений, связанных с этим пространством имен.

В процесс входят два основных элемента.

  1. Добавьте пространство имен контроль доступа в клиент Azure AD в качестве веб-приложения. Это позволяет пространству имен (веб-приложению) получать токены из Azure AD.

  2. Добавьте клиент Azure AD в пространство имен контроль доступа в качестве поставщика удостоверений.

Остальные шаги являются стандартными для всех поставщиков удостоверений в ACS. Вы можете добавить приложения проверяющей стороны и правила, определяющие, какие утверждения удостоверений передаются от поставщиков удостоверений в приложения проверяющей стороны.

Требования

В инструкциях этого раздела требуется следующее.

  1. Подписка Azure. Дополнительные сведения см. в статье начало работы в Azure.

  2. Пространство имен службы контроля доступа Azure. Дополнительные сведения см. в статье "Практическое руководство. Создание пространства имен контроль доступа".

  3. Visual Studio 2012

Сводка действий

Чтобы добавить клиент Azure AD в качестве поставщика удостоверений, выполните следующие действия.

  • Шаг 1. Поиск имени пространства имен контроль доступа

  • Шаг 2. Добавление пространства имен контроль доступа в качестве веб-приложения

  • Шаг 3. Добавление поставщика удостоверений клиента Azure AD в пространство имен контроль доступа

  • Шаг 4. Использование поставщика удостоверений клиента Azure AD с приложением

Шаг 1. Поиск имени пространства имен контроль доступа

В этом шаге мы скопируем имя пространства имен для использования в следующем шаге. Имя пространства имен нужно, чтобы указать, что токены следует отправлять в конечную точку, которая получает ответы входа WS-Federation.

Хотя URL-адрес пространства имен находится в поле, отмеченном как Портал управления, токены отправляются в указанную конечную точку, а не на портал.

  1. Перейдите на портал управления Microsoft Azure (https://manage.WindowsAzure.com), войдите в систему и щелкните Active Directory. (Совет по устранению неполадок: элемент Active Directory отсутствует или недоступен)

  2. Для выполнения управления пространством имен Access Control выберите пространство имен и щелкните Управление. (Или щелкните Пространства имен Access Control, выберите пространство имен, а затем щелкните Управление.)

  3. Нажмите кнопку Интеграция приложений.

  4. Скопируйте значение поля Портал управления.

    URL-адрес в поле "Портал управления" имеет следующий формат:

    < https:// Namespace.accesscontrol.windows.net/>

    Сохраните значение. Оно понадобится в следующем шаге.

Значение поля Портал управления — это имя пространства имен и URL-адрес конечной точки, которая получает ответы входа WS-Federation.

Шаг 2. Добавление пространства имен контроль доступа в качестве веб-приложения

На этом шаге вы будете использовать функции портала управления Azure для добавления пространства имен контроль доступа в качестве веб-приложения в клиенте Azure AD. Это сделает клиент получателем токенов, которые создает Azure AD.

  1. Перейдите на портал управления Azure и войдите в систему. Щелкните Active Directory, щелкните каталог, щелкните "Приложения" и нажмите кнопку "Добавить".

    Add an application to an Active Directory tenant

  2. Введите имя приложения. В поле Тип выберите Веб-приложение и (или) веб-интерфейс API (значение по умолчанию). Чтобы продолжить, нажмите стрелку.

    Add a name and type for the app

  3. В текстовых полях "URL-адрес приложения" и "Универсальный код ресурса идентификатора приложения" вставьте URL-адрес, указанный в поле Портал управления на странице Интеграция приложения. Чтобы продолжить, нажмите стрелку.

    URL-адрес приложения — это адрес, на который отправляются токены, когда пользователь успешно выполняет проверку подлинности. Универсальный код ресурса идентификатора приложения — это аудитория, которой ограничен токен. Если мы использовали любое значение, отличное от entityID пространства имен контроль доступа, служба ACS будет интерпретировать ее как токен, повторно используемый из атаки "злоумышленник в середине".

    При вставке будьте внимательны и не указывайте пробелы в конце или дополнительные символы после косой черты (/). В противном случае Azure AD отметит URL-адрес как недопустимый.

    Add the URL and App ID Uri for the app

  4. На странице "Доступ к каталогу" выберите параметр по умолчанию — Единый вход. Поскольку ACS не вызывает API Graph, параметр не используется. Чтобы завершить процесс, установите флажок.

    На этом этапе ваш клиент Azure AD знает о пространстве имен контроль доступа и может выдавать маркеры для него.

    Specify the access requirements of the app

  5. На последней странице скопируйте URL-адрес метаданных федерации. Он понадобится через несколько минут.

    Чтобы вернуться на эту страницу, выполните следующие действия.

    • Перейдите на портал управления Azure и войдите в систему.

    • Щелкните каталог Azure.

    • Выберите Приложения.

    • Щелкните приложение.

    URL-адрес метаданных федерации также указан на странице приложения Конечные точки приложения. Чтобы просмотреть эту страницу, на странице "Приложение" щелкните кнопку Просмотреть конечные точки.

    Page announces that app is added

Шаг 3. Добавление поставщика удостоверений клиента Azure AD в пространство имен контроль доступа

На этом шаге вы добавите службу маркеров безопасности (STS) для клиента Azure AD в пространство имен контроль доступа.

  1. Перейдите на портал управления Microsoft Azure (https://manage.WindowsAzure.com), войдите в систему и щелкните Active Directory. (Совет по устранению неполадок: элемент Active Directory отсутствует или недоступен)

  2. Для выполнения управления пространством имен Access Control выберите пространство имен и щелкните Управление. (Или щелкните Пространства имен Access Control, выберите пространство имен, а затем щелкните Управление.)

    Это действие открывает портал управления ACS для пространства имен контроль доступа.

    ACS Management Portal

  3. Щелкните Поставщики удостоверений и нажмите кнопку Добавить.

  4. Выберите поставщика удостоверений WS-Federation и нажмите кнопку "Далее".

    Add an identity provider

  5. Введите отображаемое имя и текст ссылки входа. Для этих значений нет специальных требований.

  6. В разделе метаданных WS-Federation щелкните URL-адрес и вставьте URL-адрес метаданных федерации, скопированный на странице приложения. Нажмите кнопку Сохранить.

    Еще одно полезное поле на этой странице — это поле Текст ссылки входа. Это значение поля, которое появляется в списке поставщиков удостоверений, предлагаемом пользователям при входе в приложение.

    Enter the Federation Metadata URL

Шаг 4. Использование поставщика удостоверений клиента Azure AD с приложением

Клиент Azure AD теперь зарегистрирован в качестве поставщика удостоверений для пространства имен контроль доступа. В некотором смысле наша задача завершена. Однако на этом шаге мы покажем, как использовать новый поставщик удостоверений, добавив его в предложение поставщиков удостоверений для веб-приложения.

Чтобы выбрать нового поставщика удостоверений для приложения, следуйте стандартной процедуре.

  1. Запустите Visual Studio 2012 и откройте веб-приложение.

  2. В обозревателе решений щелкните правой кнопкой мыши имя приложения и нажмите кнопку Удостоверение и доступ.

  3. На вкладке "Поставщики" щелкните Использовать службу контроля доступа Azure.

  4. Чтобы связать приложение с пространством имен службы контроля доступа, необходим ключ управления для пространства имен. Вот, как найти его.

    1. Перейдите на портал управления Microsoft Azure (https://manage.WindowsAzure.com), войдите в систему и щелкните Active Directory. (Совет по устранению неполадок: элемент Active Directory отсутствует или недоступен)

    2. Для выполнения управления пространством имен Access Control выберите пространство имен и щелкните Управление. (Или щелкните Пространства имен Access Control, выберите пространство имен, а затем щелкните Управление.)

    3. Щелкните кнопку Служба управления, нажмите Клиент управления, а затем — Симметричный ключ.

    4. Щелкните кнопку Отобразить ключ, скопируйте значение ключа и нажмите Скрыть ключ.

  5. Вернувшись к диалоговому окну Настройка пространства имен ACS Visual Studio, введите имя пространства имен службы контроля доступа и вставьте значение ключа управления.

    Enter the namespace name and key in Visual Studio

  6. Затем выберите поставщика удостоверений клиента Azure AD из списка поставщиков удостоверений в пространстве имен.

    Select the AD Tenant identity provider

  7. При запуске приложения в диалоговом окне входа среди вариантов поставщиков удостоверений появится поставщик удостоверений клиента Azure AD. (Имя, которое отображается на этой странице, указано в поле Текст ссылки входа на странице параметров поставщика удостоверений.)

    Select an identity provider

  8. Выберите клиент Azure AD и войдите с помощью учетной записи организации.

    Application sign-in page

После этого вы получите доступ к своему приложению. Токены проверки подлинности перенаправляются в клиент Azure AD, который используется в качестве поставщика удостоверений.

См. также:

Основные понятия

Практические советы по работе с ACS