AD FS и Single Sign-On в Windows Server: настройка SSO

Active Directory Federation Services (AD FS) — роль Windows Server, обеспечивающая Single Sign-On (единый вход) для веб-приложений и облачных сервисов. AD FS позволяет пользователям Active Directory аутентифицироваться один раз и получать доступ к приложениям без повторного ввода учётных данных — как к внутренним корпоративным, так и к внешним SaaS-сервисам.

AD FS поддерживает стандартные протоколы федерации: SAML 2.0 (Security Assertion Markup Language), WS-Federation, OAuth 2.0 и OpenID Connect. Это означает совместимость с тысячами приложений: Office 365, Salesforce, AWS, GitLab, Jira, Confluence и любыми приложениями, поддерживающими SAML/OIDC.

Архитектура AD FS: сервер AD FS выступает в роли Identity Provider (IdP) — при обращении к защищённому приложению (Service Provider / Relying Party) пользователь перенаправляется на страницу входа AD FS, аутентифицируется через Active Directory, получает токен (SAML assertion / JWT) и перенаправляется обратно в приложение с подтверждением личности.

Предварительные шаги: импорт SSL-сертификата и создание service account:

# PowerShell: создание gMSA для AD FS
# На контроллере домена:
Add-KdsRootKey -EffectiveImmediately
New-ADServiceAccount -Name "svc-adfs" -DNSHostName "adfs.company.ru" `
  -PrincipalsAllowedToRetrieveManagedPassword "ADFS-Server$"

# На AD FS сервере: установка gMSA
Install-ADServiceAccount -Identity "svc-adfs"
Test-ADServiceAccount -Identity "svc-adfs"
# True

Установка роли AD FS:

# Установка роли
Install-WindowsFeature -Name ADFS-Federation -IncludeManagementTools

# Импорт SSL-сертификата (если ещё не установлен)
Import-PfxCertificate -FilePath C:\certs\adfs.company.ru.pfx `
  -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "CertPass" -AsPlainText -Force)

# Получение thumbprint сертификата
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*adfs.company.ru*" }
$cert.Thumbprint

Добавление приложения (Relying Party Trust) для SAML-аутентификации. Пример — интеграция с корпоративным GitLab:

# Добавление Relying Party через метаданные
Add-AdfsRelyingPartyTrust `
  -Name "GitLab" `
  -MetadataUrl "https://gitlab.company.ru/users/auth/saml/metadata" `
  -IssuanceAuthorizationRules '@RuleTemplate = "AllowAllAuthzRule" => issue(Type = "http://schemas.microsoft.com/authorization/claims/permit", Value = "true");'

# Или вручную (если метаданные недоступны)
Add-AdfsRelyingPartyTrust `
  -Name "Custom App" `
  -Identifier "https://app.company.ru/saml" `
  -SamlEndpoint (New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer `
    -Uri "https://app.company.ru/saml/acs") `
  -IssuanceAuthorizationRules '@RuleTemplate = "AllowAllAuthzRule" => issue(Type = "http://schemas.microsoft.com/authorization/claims/permit", Value = "true");'

Настройка Claim Rules — какие атрибуты AD передавать приложению:

# Правила трансформации Claims
$rules = @'
@RuleName = "Send LDAP Attributes"
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", 
   Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", 
   types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
            "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
            "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname",
            "http://schemas.xmlsoap.org/claims/Group"),
   query = ";mail,givenName,sn,tokenGroups;{0}", 
   param = c.Value);

@RuleName = "Send NameID"
c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
=> issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
   Issuer = c.Issuer, Value = c.Value,
   Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = 
   "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");
'@

Set-AdfsRelyingPartyTrust -TargetName "GitLab" -IssuanceTransformRules $rules

Интеграция AD FS с Microsoft 365 — наиболее распространённый сценарий. Позволяет пользователям входить в Office 365 с корпоративными учётными данными Active Directory:

# Установка модуля Azure AD (MSOnline)
Install-Module -Name MSOnline -Force
Connect-MsolService

# Конвертация домена в федеративный
Set-MsolDomainAuthentication `
  -DomainName "company.ru" `
  -Authentication Federated `
  -ActiveLogOnUri "https://adfs.company.ru/adfs/services/trust/2005/usernamemixed" `
  -PassiveLogOnUri "https://adfs.company.ru/adfs/ls/" `
  -MetadataExchangeUri "https://adfs.company.ru/adfs/services/trust/mex" `
  -SigningCertificate (Get-Content C:\certs\adfs-token-signing.cer -Raw) `
  -IssuerUri "http://adfs.company.ru/adfs/services/trust" `
  -LogOffUri "https://adfs.company.ru/adfs/ls/?wa=wsignout1.0" `
  -PreferredAuthenticationProtocol SAMLP

# Проверка
Get-MsolDomainFederationSettings -DomainName "company.ru"

# Или используйте модуль Azure AD Connect (рекомендуется):
# Azure AD Connect автоматически настраивает федерацию
# при выборе метода "Federation with AD FS"

AD FS в Windows Server 2019/2022 полноценно поддерживает OAuth 2.0 и OpenID Connect (OIDC), что позволяет интегрироваться с современными SPA и мобильными приложениями:

# Создание Application Group для OAuth/OIDC
Add-AdfsApplicationGroup -Name "Intranet Portal" -ApplicationGroupIdentifier "IntranetPortal"

# Регистрация Server Application (backend/confidential client)
Add-AdfsServerApplication `
  -Name "Portal Backend" `
  -ApplicationGroupIdentifier "IntranetPortal" `
  -Identifier "https://portal.company.ru" `
  -RedirectUri "https://portal.company.ru/auth/callback" `
  -GenerateClientSecret

# Регистрация Web API (ресурс)
Add-AdfsWebApiApplication `
  -Name "Portal API" `
  -ApplicationGroupIdentifier "IntranetPortal" `
  -Identifier "https://portal.company.ru/api" `
  -AccessControlPolicyName "Permit everyone"

# Правила claim для API
Set-AdfsWebApiApplication `
  -TargetIdentifier "https://portal.company.ru/api" `
  -IssuanceTransformRules '@RuleName = "Send UPN"
c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"]
=> issue(claim = c);'

Endpoint-ы для OIDC-интеграции:

# OpenID Configuration (discovery endpoint)
# https://adfs.company.ru/adfs/.well-known/openid-configuration

# Authorize endpoint:
# https://adfs.company.ru/adfs/oauth2/authorize

# Token endpoint:
# https://adfs.company.ru/adfs/oauth2/token

# UserInfo endpoint:
# https://adfs.company.ru/adfs/userinfo

AD FS позволяет брендировать страницу входа под корпоративный стиль:

# Установка логотипа и иллюстрации
Set-AdfsWebTheme -TargetName default `
  -Logo @{path="C:\branding\logo.png"} `
  -Illustration @{path="C:\branding\illustration.jpg"}

# Изменение текстов
Set-AdfsGlobalWebContent `
  -SignInPageDescriptionText "Вход в корпоративную систему компании" `
  -HomeRealmDiscoveryOtherOrganizationDescriptionText "Выберите организацию" `
  -ErrorPageGenericErrorMessage "Ошибка аутентификации. Обратитесь в ИТ-отдел."

# Кастомный CSS
Set-AdfsWebTheme -TargetName default `
  -StyleSheet @{path="C:\branding\custom.css"}

# Пример custom.css:
# #loginArea { background-color: #1a365d; border-radius: 8px; }
# #submitButton { background-color: #2d6bc4; }
# .title { font-family: 'Segoe UI', sans-serif; color: #fff; }

# Для полного контроля — создание кастомной темы:
New-AdfsWebTheme -Name "CompanyTheme" -SourceName default
Export-AdfsWebTheme -Name "CompanyTheme" -DirectoryPath C:\adfs-theme
# Отредактируйте файлы в C:\adfs-theme, затем:
Set-AdfsWebTheme -TargetName "CompanyTheme" -AdditionalFileResource @{Uri="/adfs/portal/custom.js";Path="C:\adfs-theme\custom.js"}
Set-AdfsWebConfig -ActiveThemeName "CompanyTheme"

Диагностика проблем SSO — типичные задачи администратора:

# Включение расширенного аудита
Set-AdfsProperties -AuditLevel Verbose
auditpol /set /subcategory:"Application Generated" /failure:enable /success:enable

# Просмотр логов
Get-WinEvent -LogName "AD FS/Admin" -MaxEvents 20 | Format-Table TimeCreated, Message -Wrap

# Тест федерации
# PowerShell: проверка SAML-токена
$endpoint = "https://adfs.company.ru/adfs/services/trust/13/usernamemixed"
$body = @"
<s:Envelope xmlns:s='http://www.w3.org/2003/05/soap-envelope'
  xmlns:a='http://www.w3.org/2005/08/addressing'
  xmlns:u='http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd'>
  <s:Body>
    <trust:RequestSecurityToken xmlns:trust='http://docs.oasis-open.org/ws-sx/ws-trust/200512'>
      <wsp:AppliesTo xmlns:wsp='http://schemas.xmlsoap.org/ws/2004/09/policy'>
        <a:EndpointReference><a:Address>urn:federation:MicrosoftOnline</a:Address></a:EndpointReference>
      </wsp:AppliesTo>
      <trust:KeyType>http://docs.oasis-open.org/ws-sx/ws-trust/200512/Bearer</trust:KeyType>
      <trust:RequestType>http://docs.oasis-open.org/ws-sx/ws-trust/200512/Issue</trust:RequestType>
    </trust:RequestSecurityToken>
  </s:Body>
</s:Envelope>
"@

Invoke-WebRequest -Uri $endpoint -Method POST -Body $body -ContentType "application/soap+xml"

# Проверка сертификатов (истечение — частая причина сбоев)
Get-AdfsCertificate | Select-Object CertificateType, Thumbprint, NotAfter | Format-Table