# E10系统通过SAML集成接入Windows Server ADFS（PC端）（只要域中电脑配置可实现ADFS自动登录，即可实现域中电脑自动登录E10系统）

来源快照：`result_data_new_260518.json`

- 来源 ID：`1174743310243283080`
- 模块：集成中心
- 目录：统一认证接入管理 - 配置示例 - 认证集成 微软
- space ID：`1158011075224911873`
- 原文链接：未提供
- 产品基线：未提供

## 正文

# 一、功能说明

本文档主要介绍PC端E10系统通过SAML集成接入Windows Server ADFS服务。

特别注意：文档中提供的ADFS服务只是示例，实际上需要看第三方提供的具体的ADFS。若第三方的ADFS服务不是文档中的对接形式，请麻烦提供第三方ADFS服务的对接文档提交“客户需求和建议评估流程”，判断是否是需要定制开发

前提以及基本步骤

测试E10环境：https://weapp.mulinquan.cn/ （需要部署https）

测试人员登录名： zuoxiaopang

 

测试Windows Server 2019 ADFS服务：（备注：只是示例，具体需要看实际的adfs服务。）

使用虚拟机模拟搭建了Windows Server 2019 ADFS服务。

https://sso.ecology.cn/adfs/ls/idpinitiatedsignon.htm

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743713875640334&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

测试人员登录账号： zuoxiaopang@ecology.cn

 

**基本步骤：**

**①ADFS服务提供IDP文件**

**②维护OA系统与ADFS服务人员的对应关系**

**③OA配置SAML集成生成SP文件**

**④ADFS服务导入SP文件**

**⑤单点认证效果**

#  二、ADFS服务提供IDP文件

需要ADFS服务提供IDP文件。

测试的ADFS服务通过访问：（**备注：只是示例，具体以第三方ADFS服务提供的文件为准** ）

[ _https://sso.ecology.cn/federationmetadata/2007-06/federationmetadata.xml_](https://sso.ecology.cn/federationmetadata/2007-06/federationmetadata.xml)

可下载 federationmetadata.xml 文件。

 

# 三、维护OA系统与ADFS服务人员的对应关系

E10系统SAML集成可支持账号规则：手机号码、登录名、工号、电子邮箱，分别人员卡片上的账号信息-登录邮箱、账号信息-登录手机号、账号信息-登录名、基本信息-工号、账号信息-登录邮箱。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743713912020998&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

若账号规则设置为**手机号码、登录名或工号** 时，需要维护OA系统人员的登录名与adfs中人员userPrincipalName属性值**@前面的内容一致** ；当账号规则设置为**电子邮箱** 时，需要将维护邮箱值与adfs返回人员userPrincipalName属性值内容**完全一致** 。

本文档将使用登录名作为账号规则，则只需维护adfs中人员userPrincipalName属性值@前面的内容到登录名处即可。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743692518244353&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743722417537025&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

# 四、配置SAML集成生成SP文件

后台管理中心-集成中心-统一认证接入管理处，选择SAML集成协议选择认证方式为PC端认证，进入详细设置页面，在IDP元数据文件处上传ADFS服务提供的IDP元文件：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743701069062155&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743709592387613&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

证书密钥库配置，自动生成自签名证书开关启用，证书密码、组织名称、组织网址、联系邮箱地址自行设置，签名算法默认SHA-1，也可支持选择SHA-256，根据实际需求选择。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743722477289478&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击【保存】按钮，即可保存成功。SAML配置完成保存成功后，在页面右上角会增加【下载SP元数据文件】按钮，点击即可下载SP文件：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743718274596875&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

获取SP文件后，提供给ADFS服务方。

# 五、ADFS服务导入SP文件

服务器管理器中点击【工具】-【AD FS管理】：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743692344909838&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

## 1、ADFS服务导入SP文件

【信赖方信任】中点击【添加信赖方信任...】：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743713811857424&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“启动”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743688058830850&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

选择“从文件导入有关信赖方的数据”，选择OA这边提供的SPMetadata.xml文件，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743692344909825&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

弹出提示，点击“确定”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743718274596880&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

设置显示名称，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743709656170503&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

直接点击”下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743718128664586&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

直接点击”下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743709656170505&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

直接点击”关闭”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743696798728195&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

## 2、编辑声明颁发策略

选择刚刚设置的信赖方信任，点击【编辑声明颁发策略】：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743692344909835&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“添加规则”，选择“以声明方式发送LDAP特性”，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743683771752449&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

设置声明规则名称，特性存储选择“Active Directory”，设置映射：

User-Principal-Name 对应UPN

点击“完成”。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743701060141062&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“添加规则”，选择“转换传入声明”，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743696771268612&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

设置声明规则名称，传入声明类型选择“UPN”，传出声明类型选择“名称 ID”，传出名称ID格式选择“电子邮件”，点击“完成”。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743713875640337&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“应用”， 点击“确定”。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743722477289488&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

## 3、安装证书

因为在 _SAML集成配置_ 中启用的自动生成自签名证书，从而需要在adfs上面信任自签的证书。

选择刚刚设置的信赖方信任，点击“属性”，点击“签名”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743696724262924&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

双击证书，显示证书不受信任，点击“安装证书”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743701060141057&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

选择“本地计算机”，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743701010841606&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

选择“将所有的证书都放入下列存储”， 选择“受信任的根证书颁发机构”，点击“下一步”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743696771268609&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“完成”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743713936654352&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

点击“确定”：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743688005173249&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

再次双击证书，没有显示不受信任了。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743692344909833&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

## 4、设置签名算法

选择刚刚设置的信赖方信任，点击“属性”，点击“高级”，根据E10系统中设置的签名算法设置安全哈希算法。   
 因上述生成sp文件时签名算法选择的是“SHA-1”算法，故此处需调整安全哈希算法为“SHA-1”算法，若生成SP文件的签名算法是“SHA-256”算法，此处则应该选择“SHA-256算法”。点击“应用”，点击“确定”后生效：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743718274596865&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743709709328405&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

到此配置结束，即可回到OA系统验证认证登录效果了。

 

# 六、认证登录效果

访问OA回调地址/个性化地址会直接调整到adfs认证服务：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743696798728211&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

输入adfs账号密码进行登录，adfs登录成功可回调直接登录OA：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743688005173254&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

手动点击退出会退出到adfs认证登录页面：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743683705143305&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

# 附一：部署SAML集成后OA系统登录不了

可访问“**OA系统地址/login?intunifyauth_client=freepass** ”页面进行登录，可绕过认证进入到OA自己的登录页面登录。

 

 

# 附二：针对需要实现在域中电脑能够直接ADFS自动登录

需要在adfs服务以及客户端进行相关配置，通过Windows自身认证集成实现ADFS自动登录，可参考文档：

[ _https://learn.microsoft.com/zh-cn/windows-server/identity/ad-fs/operations/configure-ad-fs-browser-wia_](https://learn.microsoft.com/zh-cn/windows-server/identity/ad-fs/operations/configure-ad-fs-browser-wia)

 

[_https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/active-directory/troubleshoot-ad-fs-sso-issue_](https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/active-directory/troubleshoot-ad-fs-sso-issue)

 

[_https://learn.microsoft.com/zh-cn/windows-server/identity/ad-fs/troubleshooting/ad-fs-tshoot-iwa_](https://learn.microsoft.com/zh-cn/windows-server/identity/ad-fs/troubleshooting/ad-fs-tshoot-iwa)

 

[_https://support.microsoft.com/zh-cn/topic/kb5021989-%E9%92%88%E5%AF%B9%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%9A%84%E6%89%A9%E5%B1%95%E4%BF%9D%E6%8A%A4-1b6ea84d-377b-4677-a0b8-af74efbb243f_](https://support.microsoft.com/zh-cn/topic/kb5021989-%E9%92%88%E5%AF%B9%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E7%9A%84%E6%89%A9%E5%B1%95%E4%BF%9D%E6%8A%A4-1b6ea84d-377b-4677-a0b8-af74efbb243f)

 

[_https://support.microsoft.com/zh-cn/topic/%E5%A6%82%E4%BD%95%E5%9C%A8-windows-%E4%B8%AD%E5%A4%87%E4%BB%BD%E5%92%8C%E8%BF%98%E5%8E%9F%E6%B3%A8%E5%86%8C%E8%A1%A8-855140ad-e318-2a13-2829-d428a2ab0692#id0ebd=windows_11_](https://support.microsoft.com/zh-cn/topic/%E5%A6%82%E4%BD%95%E5%9C%A8-windows-%E4%B8%AD%E5%A4%87%E4%BB%BD%E5%92%8C%E8%BF%98%E5%8E%9F%E6%B3%A8%E5%86%8C%E8%A1%A8-855140ad-e318-2a13-2829-d428a2ab0692#id0ebd=windows_11)

 

[_https://learn.microsoft.com/zh-cn/troubleshoot/windows-client/windows-security/enable-ntlm-2-authentication_](https://learn.microsoft.com/zh-cn/troubleshoot/windows-client/windows-security/enable-ntlm-2-authentication)

 

可先进行配置：

## 1，ADFS服务端进行配置

以管理员身份运行Windows PowserShell：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743705213034504&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

执行查询：

Get-AdfsProperties | select -ExpandProperty WiaSupportedUserAgents

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743701010841615&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

进行设置：

Set-AdfsProperties -WIASupportedUserAgents @("MSIE 6.0", "MSIE 7.0; Windows NT", "MSIE 8.0", "MSIE 9.0", "MSIE 10.0; Windows NT 6", "Windows NT 6.3; Trident/7.0", "Windows NT 6.3; Win64; x64; Trident/7.0", "Windows NT 6.3; WOW64; Trident/7.0", "Windows NT 6.2; Trident/7.0", "Windows NT 6.2; Win64; x64; Trident/7.0", "Windows NT 6.2; WOW64; Trident/7.0", "Windows NT 6.1; Trident/7.0", "Windows NT 6.1; Win64; x64; Trident/7.0", "Windows NT 6.1; WOW64; Trident/7.0","Windows NT 10.0; WOW64; Trident/7.0", "MSIPC", "Windows Rights Management Client", "=~Windows\s*NT.*Edg.*", "Chrome", "Mozilla/5.0")

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743709592387591&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

 

## 2，客户端进行配置

通过win+R，输入inetcpl.cpl 进入Internet属性， Internet以及本地Intranet设置用户身份验证，勾选自动使用当前用户名和密码登录。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743705213034509&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

 

 

本地Intranet-站点中可添加adfs的地址：

![](https://weapp.eteams.cn/papi/file/preview?fileId=1174743705213034497&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)
