通过

创建规则以转换传入声明

通过使用 Active Directory 联合身份验证服务 (AD FS) 中的转换传入声明规则模板，可以选择传入声明、更改其声明类型以及更改其声明值。 例如，可以使用此规则模板创建一个规则，用于发送与传入组声明具有相同声明值的角色声明。 当传入组声明值为“Admins”时，还可以使用此规则发送声明值为“Purchasers”的组声明，也可以仅发送以 @fabrikam 结尾的用户主体名称 (UPN) 声明。

可以使用以下过程通过 AD FS 管理单元创建声明规则。

本地计算机上的 Administrators 中的成员身份或等效身份是完成这些过程所需的最低要求。 查看有关使用适当帐户和本地和域默认组中组成员身份的详细信息。

在 Windows Server 2016 中的信赖方信任上创建规则以转换传入声明

  1. 在服务器管理器中，单击“工具”，选择“AD FS 管理”。

  2. 在控制台树中的“AD FS”下，单击“信赖方信任”。 Screenshot that shows where to select Relying Party Trusts when you create a rule to transform an incoming claim on a Relying Party Trust in Windows Server 2016.

  3. 右键单击所选信任，然后单击“编辑声明颁发策略”。 Screenshot that shows where to select Edit Claim Issuance Policy when you create a rule to transform an incoming claim on a Relying Party Trust in Windows Server 2016.

  4. 在“编辑声明颁发策略”对话框中的“颁发转换规则”下，单击“添加规则”以启动规则向导。 Screenshot that shows where to select Add Rule when you create a rule to transform an incoming claim on a Relying Party Trust in Windows Server 2016.

  5. 在“选择规则模板”页上的“声明规则模板”下，从列表中选择“转换传入声明”，然后单击“下一步”。 Screenshot that shows where to select the Transform an Incoming Claim when you create a rule to transform an incoming claim on a Relying Party Trust in Windows Server 2016.

  6. 在“配置规则”页上的“声明规则名称”中，键入此规则的显示名称。 在“传入声明类型”中，选择列表中的声明类型。 在“传出声明类型”中，选择列表中的声明类型，然后选择以下选项之一，具体取决于组织的要求：

    • 传递所有声明值

    • 将传入声明值替换为不同的传出声明值

    • 将传入电子邮件后缀声明替换为新的电子邮件后缀Screenshot that shows where to type the claim rule name when you create a rule to transform an incoming claim on a Relying Party Trust in Windows Server 2016.

  7. 单击“完成”按钮。

  8. 在“编辑声明规则”对话框中，单击“确定”保存规则。

注意

如果要设置使用 AD FS 颁发的声明的动态访问控制方案，请首先在声明提供方信任上创建转换规则，并在“传入声明类型”中键入传入声明的名称，或者，如果以前创建了声明说明，请从列表中选择它。 其次，在“传出声明类型”中，选择所需的声明 URL，然后在信赖方信任上创建转换规则以颁发设备声明。

有关动态访问控制方案的详细信息，请参阅动态访问控制内容指南或将 AD DS 声明用于 AD FS。

在 Windows Server 2016 中的声明提供方信任上创建规则以转换传入声明

  1. 在服务器管理器中，单击“工具”，选择“AD FS 管理”。

  2. 在控制台树中的“AD FS”下，单击“声明提供方信任”。 Screenshot that shows where to select Claims Provider Trusts when you create a rule to transform an incoming claim on a Claims Provider Trust in Windows Server 2016.

  3. 右键单击所选信任，然后单击“编辑声明规则”。 Screenshot that shows where to select Edit Claim Rules when you create a rule to transform an incoming claim on a Claims Provider Trust in Windows Server 2016.

  4. 在“编辑声明规则”对话框中的“接受转换规则”下，单击“添加规则”以启动规则向导。 Screenshot that shows where to select Add Rule when you create a rule to transform an incoming claim on a Claims Provider Trust in Windows Server 2016.

  5. 在“选择规则模板”页上的“声明规则模板”下，从列表中选择“转换传入声明”，然后单击“下一步”。 Screenshot that shows where to select the Transform an Incoming Claim template when you create a rule to transform an incoming claim on a Claims Provider Trust in Windows Server 2016.

  6. 在“配置规则”页上的“声明规则名称”中，键入此规则的显示名称。 在“传入声明类型”中，选择列表中的声明类型。 在“传出声明类型”中，选择列表中的声明类型，然后选择以下选项之一，具体取决于组织的要求：

    • 传递所有声明值

    • 将传入声明值替换为不同的传出声明值

    • 将传入电子邮件后缀声明替换为新的电子邮件后缀Screenshot that shows where to type the claim rule name when you create a rule to transform an incoming claim on a Claims Provider Trust in Windows Server 2016.

  7. 单击“完成”按钮。

  8. 在“编辑声明规则”对话框中，单击“确定”保存规则。

注意

如果要设置使用 AD FS 颁发的声明的动态访问控制方案，请首先在声明提供方信任上创建转换规则，并在“传入声明类型”中键入传入声明的名称，或者，如果以前创建了声明说明，请从列表中选择它。 其次，在“传出声明类型”中，选择所需的声明 URL，然后在信赖方信任上创建转换规则以颁发设备声明。

有关动态访问控制方案的详细信息，请参阅动态访问控制内容指南或将 AD DS 声明用于 AD FS。

在 Windows Server 2012 R2 中创建规则以转换传入声明

  1. 在服务器管理器中单击“工具”，然后单击“AD FS 管理”。

  2. 在控制台树中的“AD FS\信任关系”下，单击“声明提供方信任”或“信赖方信任”，然后在列表中单击要在其中创建此规则的特定信任。

  3. 右键单击所选信任，然后单击“编辑声明规则”。 Screenshot that shows where to select Edit Claim Rules when you create a rule in Windows Server 2012 R2.

  4. 在“编辑声明规则”对话框中，选择以下选项卡之一，具体取决于要编辑的信任以及要在其中创建此规则的规则集，然后单击“添加规则”以启动与该规则集关联的规则向导：

    • 接受转换规则

    • 颁发转换规则

    • 颁发授权规则

    • 委派授权规则Screenshot that shows where to select Edit Claim Rules when you create a rule to transform an incoming claim in Windows Server 2012 R2.

  5. 在“选择规则模板”页上的“声明规则模板”下，从列表中选择“转换传入声明”，然后单击“下一步”。 Screenshot that shows where to select the Transform an Incoming Claim template when you create a rule to transform an incoming claim in Windows Server 2012 R2.

  6. 在“配置规则”页上的“声明规则名称”中，键入此规则的显示名称。 在“传入声明类型”中，选择列表中的声明类型。 在“传出声明类型”中，选择列表中的声明类型，然后选择以下选项之一，具体取决于组织的要求：

    • 传递所有声明值

    • 将传入声明值替换为不同的传出声明值

    • 将传入电子邮件后缀声明替换为新的电子邮件后缀create rule

注意

如果要设置使用 AD FS 颁发的声明的动态访问控制方案，请首先在声明提供方信任上创建转换规则，并在“传入声明类型”中键入传入声明的名称，或者，如果以前创建了声明说明，请从列表中选择它。 其次，在“传出声明类型”中，选择所需的声明 URL，然后在信赖方信任上创建转换规则以颁发设备声明。

有关动态访问控制方案的详细信息，请参阅动态访问控制内容指南或将 AD DS 声明用于 AD FS。

  1. 单击“完成”。

  2. 在“编辑声明规则”对话框中，单击“确定”保存规则。

其他参考

配置声明规则

清单：为信赖方信任创建声明规则

清单：为声明提供方信任创建声明规则

何时使用授权声明规则

声明的角色

声明规则的角色