Windows Server 2016 ADFS-与AWS Directory Service集成

Question

我们希望使用WebSSO（使用单组凭据单点登录）通过Windows Server 2016-ADFS用于许多小型内部Web应用程序（活动目录联合服务）和AWS目录服务。我们已经在AWS账户中使用目录服务创建了一个域。对AWS Directory Service执行成功的域加入之后，我尝试使用Windows Server 2016 EC2实例上的服务器管理器工具安装和配置ADFS。 ADFS配置向导中的一个屏幕要求输入域管理员密码。 AWS Directory Service创建的管理员用户似乎不是域管理员。因此，我无法在Windows EC2实例上配置ADFS。

https://www.virtuallyboring.com/how-to-setup-microsoft-active-directory-federation-services-adfs/

我想知道是否完全可以在AWS Directory Service中创建Domain Administrator，其次是否可以实现使用SAML的带有AWS Directory Service的ADFS？

通过下面的AWS链接，我认为默认的“ admin”用户与域管理员不同。

https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_getting_started_admin_account.html

将非常感谢您收到有关ADFS与适用于Web应用程序的AWS Directory Service集成的任何输入。

注意：我在网上找到了用于使用Windows Active目录而非AWS Directory Service安装/配置Windows ADFS的链接。我找到了以下链接，用于将ADFS与IAM用户的Active Directory集成在一起，但并没有太大帮助。

https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/

我们有兴趣将我们的Web应用程序与WebSSO的ADFS / AWS目录服务集成。

Answer 1

我获得了答案。出于安全原因，AWS Directory Service不提供域管理员帐户。可以针对AWS Directory Service配置Windows ADFS Server 2016。我们应该使用Powershell命令而不是向导来配置ADFS服务器，因为向导会要求提供域管理员帐户。

这些步骤：

将GUID和证书ThumbprintID参数替换为随附代码中的值
• 建议使用默认的AWS托管Microsoft AD管理员帐户“ NetBIOSname \ Admin”来运行以下所有PowerShell命令
• 您可以将域用户创建为ADFS服务帐户，并将其用于$ svcCred凭据变量
• 您可以将AWS托管的Microsoft AD Admin用户用于$ localAdminCred凭据变量

下面的代码将在Powershell窗口中运行（以管理员身份运行：）>

假设活动目录域= corp.example.com

(New-Guid).Guid

New-ADObject -Name "ADFS" -Type Container -Path "OU=corp,DC=corp,DC=example,DC=com"

New-ADObject -Name "GUID" -Type Container -Path "CN=ADFS,OU=corp,DC=corp,DC=example,DC=com"

$adminConfig = @{"DKMContainerDn"="CN=GUID,CN=ADFS,OU=corp,DC=corp,DC=example,DC=com"}

$svcCred = (get-credential)

$localAdminCred = (get-credential)

Install-WindowsFeature ADFS-Federation

Install-ADFSFarm -CertificateThumbprint ‎<Thumbprint ID> -FederationServiceName
     "YourFederationServiceName" -ServiceAccountCredential $svcCred -Credential
     $localAdminCred -OverwriteConfiguration -AdminConfiguration $adminConfig 
     -SigningCertificateThumbprint ‎<Thumbprint ID> 
     -DecryptionCertificateThumbprint ‎<Thumbprint ID>

Set-ADFSProperties -EnableIdpInitiatedSignonPage $true

以下URL对于通过AWS Directory Service设置Windows ADFS Server也是有用的：

https://aws.amazon.com/blogs/security/how-to-enable-your-users-to-access-office-365-with-aws-microsoft-active-directory-credentials/