微软Windows活动目录

配置AD FS Federation服务

1. 进入AD FS管理控制台。

   

2. 点击编辑联邦服务属性在右侧的操作栏。

3. 验证联合服务名称和标识符是否与环境的DNS条目匹配。下面的例子不使用自定义DNS条目:

   

4. Databricks使用SAML 2.0作为标准身份验证机制。要验证您的AD FS服务支持SAML 2.0，请转到AD FS >服务>端点并确认URL路径adfs / ls的存在。

   

5. 第一次配置AD FS对企业内部网以外的客户端进行身份验证时，必须启用内部网表单身份验证。

   1. 去AD FS管理应用> AD FS >认证策略>编辑全局认证策略．

   2. 选择Intranet Forms身份验证。

   

6. 若要查看组织的SSO页面，请转到https:// < your-sso-domain > .com/adfs/ls/idpinitiatedsignon．

配置信任关系

添加Databricks作为依赖方信任:

1. 去AD FS >信任关系>依赖方信任．

2. 按照说明操作创建一个AD FS依赖方信任．

3. 集显示名称来砖．

4. 如果需要，在其中输入信息笔记．

5. 点击下一个．

6. 点击AD FS配置文件．

   

7. 配置AD FS与Databricks之间的加密证书。

   

   1. 下配置URL,点击启用对SAML 2.0 WebSSO协议的支持．

   2. 输入您复制的Databricks SAML URL需求．

      

   3. 在配置标识符，再次输入Databricks SAML URL。

      

   4. 点击添加添加另一个标识符。输入Databricks工作区URL，例如https:// < databricks-instance > .cloud.www.neidfyre.com．

8. 旁边配置多因素认证…中,选择我不想配置....

   

9. 下选择发行授权规则中,选择允许所有用户访问此依赖方．测试结束后，您可以更新此设置，有选择地允许Active Directory组或成员访问“数据库”。

   

   点击下一个．

10. 检查配置。

    

11. 离开打开编辑索赔规则…选中，然后单击关闭完成添加中继方信任。

    

    保持对话，并继续添加转换声明规则．

添加转换声明规则

AD FS中的声明规则将Windows AD中的用户对象映射到Databricks中的用户。使用实例创建基于用户邮箱地址的claim规则。

1. 如有需要，请按传递一方信任并点击砖．

2. 在右侧操作栏中，单击编辑索赔规则，然后按添加规则．

3. 点击将LDAP属性作为声明发送．

   

   1. 将索赔规则名称设置为外向数据LDAP电子邮件．

   2. 将属性存储设置为活动目录．

   3. 选择您的公司用于电子邮件地址的LDAP属性。默认为电子邮件地址．将其映射到名字标识而且电子邮件地址：

   

4. 点击完成．

5. 点击添加规则添加另一条规则。

6. 集索赔规则模板来转换传入索赔．

   

   1. 集索赔规则名称来Incoming Databricks LDAP邮箱．

   2. 集传入索赔类型来电子邮件地址．

   3. 集入站名称ID格式来未指明的．

   4. 集传出索赔类型来名字标识．

   5. 集外出姓名ID格式来电子邮件．

7. 点击传递所有索赔值．

   

8. 点击完成．

9. 点击然后应用Ok返回主屏幕。

修改签名为SHA-256

1. 在“AD FS依赖方信任”界面，选择砖．

2. 点击属性在操作栏上。

   

3. 去先进的选项卡。

4. 集安全哈希算法来sha - 256．

   

拷贝AD FS服务证书

1. 从AD FS管理控制台转到AD FS > Service >证书．

2. 找到令牌签名证书。点击查看证书在操作侧栏中。

   1. 单击细节选项卡。

   2. 点击复制至文件．

   3. 选择Base-64编码X.509 (.CER)当提示。

   4. 用记事本或其他文本编辑器打开文件。

   5. 复制之间的文本——开始证书——而且——结束证书——．

(必选)配置SAML响应的签名

要配置SAML响应的签名和SAML断言，请使用以下PowerShell命令。如果您的依赖方信托没有命名砖,设置-TargetName相应的行动。

Set-ADFSRelyingPartyTrust -TargetName Databricks - samlresponsesignsignature " MessageAndAssertion "

有关此需求的详细信息，请参见验证SAML响应是否已签名．