步驟︰使用 MS-AD FS 3.0 配置 SAML SSO

先決條件

符合以下條件的電腦︰
已啟用 Windows Server 2008 R2 或 RelayState 參數。請參閱「 MS AD FS 3.0 RelayState」以取得詳細資訊。
包含在網域中。
一個
Adaptive Planning
具有管理權限的科目
來自的確認電子郵件 (地址)
Adaptive Planning
指出已在您的實例上佈建 SAML
憑證授權單位已驗證權杖簽署憑證

前往
MS AD FS 管理主控台 > 服務 > 憑證
。
在憑證清單中，以滑鼠右鍵按一下
權杖簽署
，然後按一下
檢視憑證
。
前往
詳細資料
分頁，然後按一下
複製到檔案...
在
憑證匯出精靈
出現時，按一下
下一步
。
選擇
DER 編碼二進位 X.509 (.cer)
，然後按一下
下一步
。
選取用來儲存檔案的目錄，並為其命名，然後按一下
下一步
。
按一下
完成
。

MS AD FS 3.0 RelayState

對於 ADFS 3.0，請在記事本中開啟下列檔案︰
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
在
microsoft.identityServer.web
區段中，依照下列指示為
useRelayStateForIdpInitiatedSignOn
新增一行，並儲存變更︰
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
儲存檔案。
重新啟動 Active Directory Federation Services (adfssrv) 服務。

配置

Adaptive Planning

做為信賴憑證者

導覽至 MS AD FS 3.0 管理主控台。
按一下
MS AD FS 3.0
並展開
信任關係
。
以滑鼠右鍵按一下
信賴憑證者信任
，然後按一下
新增信賴憑證者信任
。
在選取資料來源頁面上，選取
手動輸入信賴憑證者的相關資料
，然後按一下
下一步
。
指定任何適當的名稱做為顯示名稱。範例︰AdaptivePlanning。輸入附註 (如果有的話)，然後按一下
下一步
。
選取
AD FS 基本資料
。
略過「配置憑證」步驟。
設定
Adaptive Planning
您將從中的「SAML 設定」畫面取得的 SSO URL
Adaptive Planning
。範例︰
https://login.adaptiveplanning/samlsso/R0xPQk8==
在
配置 ID
頁面上，輸入
中「SAML 設定」畫面中的 URL
Adaptive Planning
做為 ID，然後按一下
新增。
在下一頁，選取
允許所有使用者存取此信賴憑證者
(如果您後續要將此應用程式指派給特定使用者，請選取
拒絕
)，然後按一下
下一步
。
在
準備好要新增信任
頁面上，按一下
下一步
。
在
完成
頁面上，清除
在精靈關閉時為此信賴憑證者信任開啟編輯宣告規則對話方塊
，然後按一下
關閉
。

配置宣告規則

範例宣告規則 #1

在此宣告規則中，使用者的

電子郵件地址

值將會在 SAML 回應中以屬性內容陳述式的形式傳送。您可以在 SAML 權杖中使用任何 LDAP 屬性內容，只要該屬性內容可唯一識別每個使用者即可。同樣地，對於「傳出宣告類型」，請從清單中選取或輸入名稱。

在
信賴憑證者信任
清單中以滑鼠右鍵按一下
AdaptivePlanning
項目，然後選取
編輯宣告規則
。
在
發佈轉換規則
分頁中，按一下
新增規則
。
從
宣告規則
範本下拉清單中，選取
以宣告的形式傳送 LDAP 屬性內容
。
按一下
下一步
。
為宣告指定一個名稱，例如
以電子郵件傳送宣告
。
將
屬性內容存放區
欄位設為 Active Directory、
LDAP 屬性內容
設為電子郵件地址，並將
傳出宣告類型
設為電子郵件地址。
按一下
完成
。
SAML 屬性內容︰
如果您僅配置了宣告規則 #1，請輸入宣告規則 #1 中的「傳出宣告類型」。
若要尋找「傳出宣告」類型，請前往 ADFS 管理主控台。
按一下「服務」>「宣告說明」
以滑鼠右鍵按一下您使用的宣告類型，然後按一下「屬性」。
複製
宣告類型
中的值，並貼到 SAML 屬性內容名稱中。可能會像「
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
"或您可能已輸入的簡稱。

範例宣告規則 #2

在此宣告規則中，我們將傳送在宣告規則 #1 中配置的電子郵件地址，做為主體的

NameID

。

按一下
新增規則
。
選取
做為要使用的宣告規則範本。
為其指定名稱。在此範例中，我們使用
電子郵件地址做為名稱 ID
。
傳入宣告類型應為
電子郵件地址
(或必須符合範例宣告規則 #1 中使用的傳出宣告類型)。
將
傳出宣告類型
設為
名稱 ID
，並將
傳出名稱 ID
格式設為
電子郵件
。
選取
傳遞所有宣告值
。
按一下
完成
。

此規則會將使用者的 E-mail-Address 值做為主體的 NameID，傳送格式如下

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

。

在中將 MS AD FS 設定為身分提供者

Adaptive Planning

以具有「使用者管理者」權限的使用者身分登入Adaptive Planning實例。
前往
管理 > SAML SSO 設定
。
輸入下列設定︰
身分提供者名稱
：
在此輸入您的 MS AD FS 3.0 伺服器名稱。
身分提供者實體 ID
：
輸入在 FS 伺服器 MS AD FS 3.0 管理主控台上找到的值。若要尋找此名稱，請以滑鼠右鍵按一下
服務
，再按一下
編輯同盟服務屬性
，然後複製
同盟服務 ID
欄位中的值。
身分提供者單點登入 (SSO) URL︰
輸入類似於以下內容的 URL (這是從 MS AD FS 端直接登入Adaptive Planning 的URL)︰
https://ADFS_HOST/adfs/ls
自訂登出 URL
︰選用。輸入當使用者從Adaptive Planning按一下
登出
時要載入的 URL。如果未指定 URL，則會使用Adaptive Planning登入頁面。
身分提供者憑證︰
選取「先決條件」中說明的憑證檔案。
SAML 使用者 ID 類型
︰選取使用者的同盟 ID。如果您將宣告規則設定為使用使用者的電子郵件 (地址)地址，且該地址與使用者基本資料上的登入欄位相同，則您可以選取
使用者的Adaptive Planning使用者名稱做為 SAML 使用者 ID。
SAML 使用者 ID 位置
︰
如果您僅在信賴憑證者的宣告規則中配置範例宣告規則 #1，請
在「屬性內容」中選取使用者 ID。
如果您配置了範例宣告規則 #2，請選取
使用者 ID
做為
主體的 NameID
。
SAML 屬性內容
和
SAML NameID 格式︰
您只需輸入其中一項。如果您僅配置了範例宣告規則 #1，請在 SAML 屬性內容欄位中填入範例宣告規則 #1 中的傳出宣告類型，並將
SAML NameID
格式欄位保留為空白。如果您配置了兩個範例宣告規則，則可以略過
SAML 屬性內容
欄位，並在
SAML NameID
欄位中填入範例宣告規則 #2 (電子郵件) 中的傳出名稱 ID 格式。
啟用 SAML
：
選取
未啟用
(這是預設值)。在測試配置後返回此畫面，並為其他使用者啟用 SAML。
按一下
儲存
。管理總覽隨即顯示。
返回
SAML SSO 設定
頁面，以驗證設定是否已成功儲存。驗證身分提供者憑證的核發單位和有效性。
在頁面底部尋找Adaptive Planning
SSO URL
，然後復制整個字串值。請儲存此值，因為在下一節將會用到。

完成 MS AD FS 信賴憑證者的配置

導覽回 MS AD FS 3.0 管理主控台。
在
信賴憑證者信任
清單中以滑鼠右鍵按一下
AdaptivePlanning
，然後選取
屬性
。
按一下
端點
分頁，然後按一下
新增
。
將
端點類型
設為
SAML 判斷提示取用者
。
將
繫結
設為
POST
。
將Adaptive Planning SSO URL 的值貼到
URL
欄位中。請注意，您是
在Adaptive Planning中將 MS AD FS 設定為身分提供者
步驟中復制的 URL。
按一下
確定
，然後在屬性對話方塊中按一下
套用
。

測試設定

在 MS AD FS 端和Adaptive Planning端選取使用者。該
Adaptive Planning
使用者必須具有 SAML 管理者權限。
在 MS AD FS 中，輸入該使用者的電子郵件地址 (或在宣告規則 #1 中選取的 LDAP 屬性內容)。
在Adaptive Planning 的
管理 > 編輯使用者
頁面上，在
SAML 同盟 ID
欄位中輸入使用者的電子郵件 (地址)地址 (可能是相同的值)。
將該 AD FS 使用者登入屬於 Active Directory 網域的電腦。
在該電腦上的網頁瀏覽器中，造訪
https://login.adaptiveplanning.com/app
依據Adaptive Planning實例的位置，您的授權 URL 和 API 端點可能會有所不同。如需更多資訊，請參閱「Adaptive Planning驗證 URL 和 IP 位址 。
如果一切配置正確，您將被重新導向至Adaptive Planning歡迎頁面。在登入頁面輸入使用者名稱，但將密碼欄位保留為空白。按一下
提交
。

Excel Interface for Planning 及 OfficeConnect SSO