聯合身份驗證服務無法授權呼叫方“ DOMAIN \\ Account”發行令牌

Question

我在Windows Server 2012中使用帶有SAML 2.0的ADFS來為MVC應用程序實現SSO。 我開始遇到此錯誤，無法找到解決方法。 我究竟做錯了什么？

The Federation Service could not authorize token issuance for caller 'xxx\xxxx
'. The caller is not authorized to request a token for the relying party 'https://example.com/SampleMvcApplication/AuthServices'. Please see event 501 with the same instance id for caller identity. 

Additional Data 
Instance id: xyz 
Relying party: https://example.com/SampleMvcApplication/AuthServices 
Exception details: 
Microsoft.IdentityServer.Service.IssuancePipeline.CallerAuthorizationException: MSIS5007: The caller authorization failed for caller identity System.Security.Claims.ClaimsIdentity for relying party trust https://example.com/SampleMvcApplication/AuthServices.
   at System.IdentityModel.AsyncResult.End(IAsyncResult result)
   at System.IdentityModel.TypedAsyncResult`1.End(IAsyncResult result)
   at System.IdentityModel.SecurityTokenService.EndIssue(IAsyncResult result)
   at Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolService.Issue(IssueRequest issueRequest)
   at Microsoft.IdentityServer.Service.SamlProtocol.SamlProtocolService.ProcessRequest(Message requestMessage) 
User Action 
Use the AD FS Management snap-in to ensure that the caller is authorized to request a token for the relying party.

Answer 1

在此服務提供商（SP）的依賴方信任（RPT）中，查看“發行授權規則”選項卡。 您將至少需要有一條規則才能發出具有true值的聲明類型http://schemas.microsoft.com/authorization/claims/permit ，並且沒有發出聲明類型http://schemas.microsoft.com/的聲明授權/聲明/拒絕 ，其值為true ，盡管從技術上講，我認為這兩者均不需要任何值。 如果允許所有用戶進入SP的前門，則可以使用“添加規則”下的規則模板，稱為“ 允許所有用戶” 。

Answer 2

您需要允許該用戶用作ADFS中配置的依賴方。

ADFS管理->依賴方信任->右鍵單擊依賴方->編輯索賠規則->發行授權規則->添加規則->允許所有用戶訪問。