ADFS auf bestimmte Gruppe einschränken

[hcandy 10]

Hi zusammen,

 

 

ich habe aktuell zum ersten mal mit ADFS zu tun. Wir benötigen den Dienst, um einen Drittanbieter-Chat per SAML 2.0 mit unserem AD zu verbinden. Das funktioniert soweit nun auch.
Jetzt stehe ich aber vor dem folgenden Problem: Wenn sich ein User erfolgreich einloggt, wird beim Drittanbieter automatisch ein Account erstellt, welcher uns zusätzliche Gebühren verursacht.
 

Deshalb meine Frage - Gibt es eine Möglichkeit, die Authentifizierung auf eine bestimmte AD-Gruppe zu beschränken?

Schon mal danke für eure Tipps

 

[Reingucker 3]

Ok, ich kenne mich nicht gut in ADFS aus, aber allein aus dieser von dir beschriebenen Konstellation hört sich das für mich nach Abzocke an.

[hcandy 10]

Abzocke? Nein, definitiv nicht. Normalerweise kann sich da nicht "jeder User" anmelden sondern muss angelegt werden, aber sobald ich das SSO aktiviere bin ich als SSO-Betreiber dafür verantwortlich, das auf die User die ich möchte zu beschränken... 

Zum Thema:

Habe es nun selbst rausgefunden und hinterasse die Lösung mal für zukünftige Google-Gäste:

 

Im ADFS Verwaltungstool auf Trust Relationsships -> Relying Party Trusts -> Rechte Maustaste auf den entsprechenden Trust -> Edit Claim Rules -> Reiter Issuance Authorization Rules -> "All" Regel Löschen -> Add Rule

"Permit or Deny User Based on an Incoming Claim" -> Incoming Claim Type: Group SID -> Bei "Incoming claim vaule" auf "Browse" und die ensprechende AD-Gruppe auswählen -> das wars schon

[Reingucker 3]

Nun ja, ich bezog mich auf das hier:

 

 

 Wenn sich ein User erfolgreich einloggt, wird beim Drittanbieter automatisch ein Account erstellt, welcher uns zusätzliche Gebühren verursacht.
 

 

 

Für mich hört sich das so an, dass selbst wenn du die Menge der User, die sich anmelden können, per Gruppe einschränkst, sich denoch einzelne User einloggen (und nicht eine Gruppe sich einloggt). Und jedesmal wenn sich ein User einloggt, dann kostet es Geld. Also völlig unabhängig davon, ob du die Menge der User per Gruppe beschränkst. Und selbst wenn du nur einen User zulässt und der sich 10 mal einloggt, dann kostet es 10 mal Geld. So würde ich deine Beschreibung interpretieren.

 

Aber vielleicht hast du dich nur unglücklich ausgedrückt :)

[hcandy 10]

Da habe ich mich unglücklich ausgedrückt - die Gebühren entstehen natürlich pro User und der Account wird nur einmal erstellt ;)