如何配置ADFS以使其表示身份驗證請求應該簽名

Question

我正在嘗試配置ADFS，以便它在其身份提供程序聯合元數據（FederationMetadata/2007-06/FederationMetadata.xml）文檔中包含WantAuthnRequestsSigned="true"？

我想使用此屬性來建議服務提供商（依賴方）認證請求應該簽名。

似乎即使在服務提供商元數據中指定了簽名證書，ADFS也不會強制必須使用它。任何方式來改變這種行爲？

我在Windows Server 2012 R2上使用ADFS。

Answer 1

使用此PowerShell命令進行配置。

Set-AdfsProperties -SignedSamlRequestsRequired $true 

該開關幫助解釋了它的使用案例。 https://technet.microsoft.com/en-us/itpro/powershell/windows/adfs/set-adfsproperties有在線幫助。

-SignedSamlRequestsRequired [] 指示聯邦服務是否需要簽署從依賴方SAML協議的請求。如果 指定的值爲$ True，則聯合身份驗證服務會拒絕未簽名的SAML協議請求。

您還可以在代表應用程序的RP信任上強制執行是否要簽名的請求。這不會更改您的AD FS的聯合元數據。

Set-AdfsRelyingPartyTrust -TargetIdentifier urn:test:app -SignedSamlRequestsRequired $true