Windows Server 2016 ADFS-与AWS Directory Service集成

Question

我们想将WebSSO（使用单一凭据集进行单点登录）用于使用Windows Server 2016-ADFS（活动目录联合服务）和AWS Directory Service的许多小型内部Web应用程序。我们已经在AWS账户中使用目录服务创建了一个域。执行成功的域加入 AWS Directory Service的操作后，我尝试使用Windows Server 2016 EC2实例上的服务器管理器工具安装和配置ADFS 。ADFS配置向导中的屏幕之一要求输入域管理员密码。AWS Directory Service创建的管理员用户似乎不是域管理员。因此，我无法在Windows EC2实例上配置ADFS。

https://www.virtuallyboring.com/how-to-setup-microsoft-active-directory-federation-services-adfs/

我想知道是否可以在AWS Directory Service中创建域管理员，其次可以使用SAML与AWS Directory Service一起实现ADFS吗？

从下面的AWS链接中，我认为默认的“ admin”用户与域管理员不同。

https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_getting_started_admin_account.html

谨感谢您收到有关ADFS与适用于Web应用程序的AWS Directory Service集成的任何输入。

注意：我在网上发现了用于使用Windows Active目录而非AWS目录服务安装/配置Windows ADFS的链接。我找到了以下链接，用于将ADFS与IAM用户的Active Directory集成在一起，但并没有太大帮助。

https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/

我们希望将我们的Web应用程序与用于WebSSO的ADFS / AWS目录服务集成。

Answer 1

我得到了答案。出于安全原因，AWS Directory Service不提供域管理员帐户。可以针对AWS Directory Service配置Windows ADFS Server 2016。当向导要求域管理员帐户时，我们应使用Powershell命令而不是向导来配置ADFS服务器。

这些步骤是：

• GUID和证书ThumbprintID参数将替换为随附代码中的值
• 建议使用默认的AWS托管Microsoft AD管理员帐户“ NetBIOSname \ Admin”来运行以下所有PowerShell命令
• 您可以将域用户创建为ADFS服务帐户，并将其用于$ svcCred凭据变量
• 您可以将AWS托管的Microsoft AD Admin用户用于$ localAdminCred凭据变量

以下代码将在Powershell窗口中运行（以管理员身份运行）：

假设活动目录域= corp.example.com

(New-Guid).Guid

New-ADObject -Name "ADFS" -Type Container -Path "OU=corp,DC=corp,DC=example,DC=com"

New-ADObject -Name "GUID" -Type Container -Path "CN=ADFS,OU=corp,DC=corp,DC=example,DC=com"

$adminConfig = @{"DKMContainerDn"="CN=GUID,CN=ADFS,OU=corp,DC=corp,DC=example,DC=com"}

$svcCred = (get-credential)

$localAdminCred = (get-credential)

Install-WindowsFeature ADFS-Federation

Install-ADFSFarm -CertificateThumbprint ?<Thumbprint ID> -FederationServiceName
     "YourFederationServiceName" -ServiceAccountCredential $svcCred -Credential
     $localAdminCred -OverwriteConfiguration -AdminConfiguration $adminConfig 
     -SigningCertificateThumbprint ?<Thumbprint ID> 
     -DecryptionCertificateThumbprint ?<Thumbprint ID>

Set-ADFSProperties -EnableIdpInitiatedSignonPage $true

以下URL对于使用AWS Directory Service设置Windows ADFS Server也是有用的：

https://aws.amazon.com/blogs/security/how-to-enable-your-users-to-access-office-365-with-aws-microsoft-active-directory-credentials/