AD FS и Single Sign-On в Windows Server: настройка SSO

AD FS (Active Directory Federation Services) — это роль Windows Server, которая реализует Single Sign-On для веб-приложений и облачных сервисов. Суть простая: пользователь один раз вводит логин и пароль от домена — и дальше ходит по приложениям без повторной аутентификации. Работает и для внутренних корпоративных систем, и для внешних SaaS-сервисов.

AD FS говорит на всех актуальных языках федерации: SAML 2.0, WS-Federation, OAuth 2.0, OpenID Connect. На практике это означает, что вы без особых усилий подключите Office 365, Salesforce, AWS, GitLab, Jira, Confluence — и вообще любой сервис с поддержкой SAML или OIDC. Таких приложений уже тысячи.

По архитектуре AD FS выступает Identity Provider-ом (IdP). Схема работы выглядит так: пользователь идёт в приложение (Service Provider / Relying Party), то перенаправляет его на страницу входа AD FS, AD FS проверяет учётку через Active Directory, выдаёт токен — SAML assertion или JWT — и отправляет обратно в приложение уже с подтверждённой личностью. Всё это происходит за секунды и незаметно для пользователя.

Сначала разберёмся с подготовкой: импортируем SSL-сертификат и создаём сервисную учётную запись.

# PowerShell: создание gMSA для AD FS
# На контроллере домена:
Add-KdsRootKey -EffectiveImmediately
New-ADServiceAccount -Name "svc-adfs" -DNSHostName "adfs.company.ru" `
  -PrincipalsAllowedToRetrieveManagedPassword "ADFS-Server$"

# На AD FS сервере: установка gMSA
Install-ADServiceAccount -Identity "svc-adfs"
Test-ADServiceAccount -Identity "svc-adfs"
# True

Установка роли AD FS:

# Установка роли
Install-WindowsFeature -Name ADFS-Federation -IncludeManagementTools

# Импорт SSL-сертификата (если ещё не установлен)
Import-PfxCertificate -FilePath C:\certs\adfs.company.ru.pfx `
  -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString -String "CertPass" -AsPlainText -Force)

# Получение thumbprint сертификата
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*adfs.company.ru*" }
$cert.Thumbprint

Теперь добавляем приложение — Relying Party Trust — для SAML-аутентификации. Разберём на конкретном примере: интеграция с корпоративным GitLab.

# Добавление Relying Party через метаданные
Add-AdfsRelyingPartyTrust `
  -Name "GitLab" `
  -MetadataUrl "https://gitlab.company.ru/users/auth/saml/metadata" `
  -IssuanceAuthorizationRules '@RuleTemplate = "AllowAllAuthzRule" => issue(Type = "http://schemas.microsoft.com/authorization/claims/permit", Value = "true");'

# Или вручную (если метаданные недоступны)
Add-AdfsRelyingPartyTrust `
  -Name "Custom App" `
  -Identifier "https://app.company.ru/saml" `
  -SamlEndpoint (New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer `
    -Uri "https://app.company.ru/saml/acs") `
  -IssuanceAuthorizationRules '@RuleTemplate = "AllowAllAuthzRule" => issue(Type = "http://schemas.microsoft.com/authorization/claims/permit", Value = "true");'

Настраиваем Claim Rules — то есть указываем, какие атрибуты из AD передавать в приложение:

# Правила трансформации Claims
$rules = @'
@RuleName = "Send LDAP Attributes"
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", 
   Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", 
   types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
            "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
            "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname",
            "http://schemas.xmlsoap.org/claims/Group"),
   query = ";mail,givenName,sn,tokenGroups;{0}", 
   param = c.Value);

@RuleName = "Send NameID"
c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
=> issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
   Issuer = c.Issuer, Value = c.Value,
   Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = 
   "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");
'@

Set-AdfsRelyingPartyTrust -TargetName "GitLab" -IssuanceTransformRules $rules

Интеграция с Microsoft 365 — пожалуй, самый частый запрос, с которым к нам приходят клиенты. Позволяет входить в Office 365 с корпоративными учётными данными Active Directory, без отдельных облачных паролей:

# Установка модуля Azure AD (MSOnline)
Install-Module -Name MSOnline -Force
Connect-MsolService

# Конвертация домена в федеративный
Set-MsolDomainAuthentication `
  -DomainName "company.ru" `
  -Authentication Federated `
  -ActiveLogOnUri "https://adfs.company.ru/adfs/services/trust/2005/usernamemixed" `
  -PassiveLogOnUri "https://adfs.company.ru/adfs/ls/" `
  -MetadataExchangeUri "https://adfs.company.ru/adfs/services/trust/mex" `
  -SigningCertificate (Get-Content C:\certs\adfs-token-signing.cer -Raw) `
  -IssuerUri "http://adfs.company.ru/adfs/services/trust" `
  -LogOffUri "https://adfs.company.ru/adfs/ls/?wa=wsignout1.0" `
  -PreferredAuthenticationProtocol SAMLP

# Проверка
Get-MsolDomainFederationSettings -DomainName "company.ru"

# Или используйте модуль Azure AD Connect (рекомендуется):
# Azure AD Connect автоматически настраивает федерацию
# при выборе метода "Federation with AD FS"

В Windows Server 2019/2022 AD FS нормально работает с OAuth 2.0 и OpenID Connect. Это открывает интеграцию с современными SPA и мобильными приложениями — не только с классическими корпоративными системами:

# Создание Application Group для OAuth/OIDC
Add-AdfsApplicationGroup -Name "Intranet Portal" -ApplicationGroupIdentifier "IntranetPortal"

# Регистрация Server Application (backend/confidential client)
Add-AdfsServerApplication `
  -Name "Portal Backend" `
  -ApplicationGroupIdentifier "IntranetPortal" `
  -Identifier "https://portal.company.ru" `
  -RedirectUri "https://portal.company.ru/auth/callback" `
  -GenerateClientSecret

# Регистрация Web API (ресурс)
Add-AdfsWebApiApplication `
  -Name "Portal API" `
  -ApplicationGroupIdentifier "IntranetPortal" `
  -Identifier "https://portal.company.ru/api" `
  -AccessControlPolicyName "Permit everyone"

# Правила claim для API
Set-AdfsWebApiApplication `
  -TargetIdentifier "https://portal.company.ru/api" `
  -IssuanceTransformRules '@RuleName = "Send UPN"
c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"]
=> issue(claim = c);'

Endpoint-ы для OIDC-интеграции:

# OpenID Configuration (discovery endpoint)
# https://adfs.company.ru/adfs/.well-known/openid-configuration

# Authorize endpoint:
# https://adfs.company.ru/adfs/oauth2/authorize

# Token endpoint:
# https://adfs.company.ru/adfs/oauth2/token

# UserInfo endpoint:
# https://adfs.company.ru/adfs/userinfo

Страницу входа AD FS можно оформить в корпоративном стиле — логотип, цвета, текст. Делается так:

# Установка логотипа и иллюстрации
Set-AdfsWebTheme -TargetName default `
  -Logo @{path="C:\branding\logo.png"} `
  -Illustration @{path="C:\branding\illustration.jpg"}

# Изменение текстов
Set-AdfsGlobalWebContent `
  -SignInPageDescriptionText "Вход в корпоративную систему компании" `
  -HomeRealmDiscoveryOtherOrganizationDescriptionText "Выберите организацию" `
  -ErrorPageGenericErrorMessage "Ошибка аутентификации. Обратитесь в ИТ-отдел."

# Кастомный CSS
Set-AdfsWebTheme -TargetName default `
  -StyleSheet @{path="C:\branding\custom.css"}

# Пример custom.css:
# #loginArea { background-color: #1a365d; border-radius: 8px; }
# #submitButton { background-color: #2d6bc4; }
# .title { font-family: 'Segoe UI', sans-serif; color: #fff; }

# Для полного контроля — создание кастомной темы:
New-AdfsWebTheme -Name "CompanyTheme" -SourceName default
Export-AdfsWebTheme -Name "CompanyTheme" -DirectoryPath C:\adfs-theme
# Отредактируйте файлы в C:\adfs-theme, затем:
Set-AdfsWebTheme -TargetName "CompanyTheme" -AdditionalFileResource @{Uri="/adfs/portal/custom.js";Path="C:\adfs-theme\custom.js"}
Set-AdfsWebConfig -ActiveThemeName "CompanyTheme"

Диагностика SSO — куда без неё. Вот инструменты, которыми мы пользуемся в первую очередь:

# Включение расширенного аудита
Set-AdfsProperties -AuditLevel Verbose
auditpol /set /subcategory:"Application Generated" /failure:enable /success:enable

# Просмотр логов
Get-WinEvent -LogName "AD FS/Admin" -MaxEvents 20 | Format-Table TimeCreated, Message -Wrap

# Тест федерации
# PowerShell: проверка SAML-токена
$endpoint = "https://adfs.company.ru/adfs/services/trust/13/usernamemixed"
$body = @"
<s:Envelope xmlns:s='http://www.w3.org/2003/05/soap-envelope'
  xmlns:a='http://www.w3.org/2005/08/addressing'
  xmlns:u='http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd'>
  <s:Body>
    <trust:RequestSecurityToken xmlns:trust='http://docs.oasis-open.org/ws-sx/ws-trust/200512'>
      <wsp:AppliesTo xmlns:wsp='http://schemas.xmlsoap.org/ws/2004/09/policy'>
        <a:EndpointReference><a:Address>urn:federation:MicrosoftOnline</a:Address></a:EndpointReference>
      </wsp:AppliesTo>
      <trust:KeyType>http://docs.oasis-open.org/ws-sx/ws-trust/200512/Bearer</trust:KeyType>
      <trust:RequestType>http://docs.oasis-open.org/ws-sx/ws-trust/200512/Issue</trust:RequestType>
    </trust:RequestSecurityToken>
  </s:Body>
</s:Envelope>
"@

Invoke-WebRequest -Uri $endpoint -Method POST -Body $body -ContentType "application/soap+xml"

# Проверка сертификатов (истечение — частая причина сбоев)
Get-AdfsCertificate | Select-Object CertificateType, Thumbprint, NotAfter | Format-Table