Jump to content

AD FS - Claim Transform Regel


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo,

 

ich habe eine Verständnisfrage zum Thema Claim Rules.

Bei O365 oder vielen anderen SAML Service providern wird die E-Mail Adresse oder UPN als "Name ID" verlangt.

Nun steht in den meisten Anleitungen, dass die erste Claim Regel daraus besteht, die Mail Adresse oder UPN aus dem Active Directory auszulegen und als E-MailAddress weiter zu geben.

In einer zweiten Claim Regel wird dann die E-MailAddress mittels einer Transform Regel zu Name ID gewandelt.

 

Da frage ich mich, warum baut man nicht direkt in der ersten Regel als Ziel "NameID" ein, anstatt der Mailaddress ?

 

Leider gibt es für AD FS wirklich sehr sehr wenig grundlegendes Informationsmaterial.

Link zu diesem Kommentar

Moin,

 

ja, die schlechte Doku zu ADFS ist ein Problem. Spaß macht das nicht.

 

Die Name ID ist auch so eine Sache für sich. Manchmal muss man da enorme Klimmzüge aufwenden, um die so zu bauen, dass beide Seiten sich verstehen. Das Beispiel, was du meinst, müsste man sich evtl. mal ansehen. Vielleicht lässt es sich wirklich durch eine einzige Regel abbilden. Vielleicht soll es aber auch die Mailadresse einmal als "E-Mailaddress" weitergeben und einmal als Name ID. Dann wären zwei Regeln schon okay.

 

Gruß, Nils

bearbeitet von NilsK
Link zu diesem Kommentar

Vielen Dank Nils.

 

Der genaue Fall ist mir hier aufgefallen. (Schritt 12:) https://helpx.adobe.com/de/enterprise/kb/Configure_Microsoft_AD_FS_for_use_with_Adobe_SSO.html

 

Die Aussage, einmal als E-Mailaddress und einmal als NameID, würde sinn machen. Allerdings bin ich davon ausgegangen, dass eine Transform Regel eben ein Objekt transformiert und nicht eine Kopie erzeugt und dieses transformiert.

 

Was genau meinst du mit "Name ID ist auch so eine Sache für sich" ?

Link zu diesem Kommentar

Moin,

 

das Adobe-Beispiel macht genau, was ich vermutet habe: Es sendet die Mailadresse einmal als Mailadresse und einmal als Name ID. Die Besonderheit an Name ID ist, dass es eine ganze Reihe von Subformaten gibt, von denen bisweilen nur eine ganz bestimmte funktioniert, und zwar dann meist eine, die ADFS von sich aus nicht sendet. Da muss man dann manchmal ziemlich rumfuhrwerken, damit es klappt.

 

Gruß, Nils

Link zu diesem Kommentar

Vielen Dank für deine Erklärung. Was mir aber noch zu Denken gibt, woher weist du (nicht falsch verstehen), dass er das Attribut einmal als Mailadresse und einmal als Name ID sendet? Vermutlich ist mein Verstand nicht in der Lage es zu begreifen, aber für mich ist eine Transformationsregel, eben eine Regel welche ein Objekt transformiert. Und wenn ich etwas transformiere, dann ist der Ursprung nicht mehr vorhanden.

 

Mit dem Format verstehe ich. Vielen Dank. Dies könnte ja auch ein Grund sein, warum ich den UPN eben nicht direkt als NameID herausgeben kann, weil sonst das Format ggf. nicht passt. 

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...