步骤：配置通过 MS-AD FS 3.0 进行 SAML 单点登录

先决条件

计算机须符合以下条件：
已启用 Windows Server 2008 R2 或 RelayState 参数。如需进一步了解相关信息，请参见“MS AD FS 3.0 RelayState”
。
已加入域。
一个
Adaptive Planning
具有管理权限的帐户
来自的确认电子邮件
Adaptive Planning
指明已在您的实例上预配 SAML
经证书颁发机构验证的令牌签名证书

转至“MS AD FS Management Console”>“Service”>“Certificates”
。
在“Certificates”列表中，右键单击“Token-Signing”
，然后单击
“View Certificate”
。
转至“Details”
选项卡，然后单击“Copy to File...”
。
当系统显示“Certificate Export Wizard”
时，单击“Next”
。
选择“DER encoded binary X.509 (.cer)”
，然后单击“Next”
。
选择一个目录以保存该文件，并为其命名，然后单击“Next”
。
单击“Finish”
。

MS AD FS 3.0 RelayState

对于 ADFS 3.0，请在记事本中打开以下文件：
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
在“microsoft.identityServer.web”
版块中，以单独占用一行的方式添加“useRelayStateForIdpInitiatedSignOn”
（如下所示），然后保存所做的变更：
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
保存该文件。
重新启动 Active Directory Federation Services (adfssrv) 服务。

正在配置

Adaptive Planning

作为信赖方

导航到 MS AD FS 3.0 管理控制台。
单击“MS AD FS 3.0”
，然后展开“Trust Relationships”
。
右键单击“Relying Party Trusts”
，然后单击“Add Relying Party Trust”
。
在“Select Data Source”页面上，选择“Enter data about the relying party manually”
，然后单击“Next”
。
指定任一适当的名称作为显示名称。示例：AdaptivePlanning。输入注释（如果有），然后单击“Next”
。
选择“AD FS profile”
。
跳过“Configure Certificate”步骤。
设置
Adaptive Planning
单点登录 URL（可从中的“SAML 设置”页面获取）
Adaptive Planning
。示例：
https://login.adaptiveplanning/samlsso/R0xPQk8==
在
“Configure Identifiers”
页面上，输入
中的“SAML 设置”页面中的 URL
Adaptive Planning
”，然后单击
“添加”。
在下一页中选择“Permit all users access to this relying party”
（如果后续要将此应用程序指定给特定用户，请选择“Deny”
），然后单击“Next”
。
在“Ready to Add Trust”
页面上，单击“Next”
。
在“Finish”
页面上，取消选中“Open the Edit Claims Rules dialog for this relying party trust when the wizard closes”
，然后单击“Close”
。

配置声明规则

声明规则示例 1

在此声明规则中，系统将用户“电子邮件地址”

中的值作为 SAML 响应中的属性语句发送。您可以在 SAML 令牌中使用任何 LDAP 属性，只要该属性能唯一标识每个用户即可。同样，对于“Outgoing Claim Type”，请从列表中选择一个名称，或输入名称。

右键单击“Relying Party Trusts”
列表中的“AdaptivePlanning”
条目，然后选择“Edit Claim Rules”
。
在“Issuance Transform Rules”
选项卡中，单击“Add Rule”
。
从“Claim Rule”
模板下拉列表中，选择“Send LDAP Attribute as Claims”
。
单击“Next”
。
为声明命名，例如“Email as Claim”
。
将“Attribute Store”
字段设置为“Active Directory”，将“LDAP Attribute”
设置为“Email-Addresses”，
将“Outgoing Claim Type”
设置为“Email Address”。
单击“Finish”
。
“SAML attribute”
：如果您仅配置了声明规则示例 1，请输入声明规则示例 1 中的“Outgoing Claim Type”。
如要查看“Outgoing Claim Type”，请转至 AD FS 管理控制台。
单击“Service”>“Claim Descriptions”。
在“Claim”中右键单击您要使用的声明类型，然后单击“Properties”。
复制“Claim Type”
中的值，并将其粘贴到“SAML attribute name”中。它可能类似于“
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
”或您可能已键入的短名称。

声明规则示例 2

在此声明规则中，我们将发送在声明规则示例 1 中配置的电子邮件地址，作为主体的 NameID

。

单击“Add Rule”
。
选择“Transform an Incoming Claim”
作为要使用的声明规则模板。
为该声明命名。在此示例中，我们使用“Email Address to Name ID”
。
传入的声明类型应为“E-mail Address”
（或者必须与声明规则示例 1 中使用的传出声明类型匹配）。
将“Outgoing claim type”
设置为“Name ID”
，将“Outgoing name ID format”
设置为“Email”
。
选择“Pass through all claim values”
。
单击“Finish”
。

此规则将发送用户的电子邮件地址值作为主体的 NameID，格式如下：

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

。

在中将 MS AD FS 设置为身份提供商

Adaptive Planning

以具有“用户管理员”权限的用户身份登录到您的 Adaptive Planning 实例。
转至“管理”>“SAML 单点登录设置”
。
输入以下设置：
身份提供商名称
：
在此处输入您的 MS AD FS 3.0 服务器名称。
身份提供商实体编号
：输入您在 FS 服务器的 MS AD FS 3.0 管理控制台上找到的值。如要查找此值，请右键单击“Service”
，单击“Edit Federation Services Properties”
，然后复制“Federation Service Identifier”
字段中的值。
身份提供商单点登录 URL：
输入类似于以下内容的 URL（这是从 MS AD FS 端直接登录 Adaptive Planning 时使用的 URL）：
https://ADFS_HOST/adfs/ls
自定义登出 URL
：可选。输入用户单击“从 Adaptive Planning
登出”
时要加载的 URL。如果未指定 URL，则使用 Adaptive Planning 登录页面。
身份提供商证书
：选择先决条件中所述的证书文件。
SAML 用户编号类型
：选择用户的联合编号。如果您将声明规则设置为使用用户的电子邮件地址，并且该地址与用户个人资料中的“登录”字段相同，则可
以为“SAML 用户编号”选择“用户的 Adaptive Planning 用户名”。
SAML 用户编号位置
：
如果您仅在信赖方的声明规则中配置了声明规则示例 1，则
在“属性”中选择“用户编号”。
如果您配置了声明规则示例 2，请选择“主体的 NameID 中的用户编号”
。
“SAML 属性”
字段和“SAML NameID 格式”字段
：您只需输入其中一个字段。如果您仅配置了声明规则示例 1，请在“SAML 属性”字段中填写声明规则示例 1 中的传出声明类型，并将“SAML NameID 格式”
字段留空。如果您配置了这两个声明规则示例，则可以跳过“SAML 属性”
字段，并在“SAML NameID 格式”
字段中填写声明规则示例 2 中的传出 NameID 格式（电子邮件）。
启用 SAML
：选择“未启用”
（这是默认值）。在测试配置后返回此页面，为其他用户启用 SAML。
单击“保存”
。系统将显示管理员概览页面。
返回到“SAML 单点登录设置”
页面，验证设置是否已成功保存。验证身份提供商证书的签发机构和有效性。
在页面底部查找“Adaptive Planning
SSO URL”
，然后复制整个字符串值。请保存此值，您在下一个版块中将会用到。

完成 MS AD FS 信赖方的配置

导航回 MS AD FS 3.0 管理控制台。
右键单击“Relying Party Trusts”
列表中的“AdaptivePlanning”
，然后选择“Properties”
。
单击“Endpoints”
选项卡，然后单击“Add”
。
将“Endpoint Type”
设置为“SAML Assertion Consumer”
。
将“Binding”
设置为“POST”
。
将“Adaptive Planning 单点登录 URL”的值粘贴到
“URL”
字段中。请注意，您已
在“在 Adaptive Planning 中将 MS AD FS 设置为身份提供商”
步骤中复制了该 URL。
单击“OK”
，然后单击属性对话框中的“Apply”
。

测试设置

在 MS AD FS 端和 Adaptive Planning 端选择一个用户。该
Adaptive Planning
用户必须具有 SAML 管理员权限。
在 MS AD FS 中，输入该用户的电子邮件地址（或在声明规则示例 1 中选择的 LDAP 属性）。
在 Adaptive Planning 中，在
“管理”>“编辑用户”
页面上，在用户的
“SAML 联合编号”
字段中输入电子邮件地址（可能是相同的值）。
将该 AD FS 用户登录到已加入 Active Directory 域的计算机。
在该计算机上的 Web 浏览器中，访问
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
如果所有内容都已正确配置，您将被重定向到 Adaptive Planning 欢迎页面。在登录页面上输入“用户名”，但将“密码”字段留空。单击“提交”
。

SSO Into Excel Interface for Planning and OfficeConnect