adal - 然后它重定向到/adfs/oauth2/authorize/wia?

Question

我正在 ADFSv3 上执行 authz 代码授权流程。

当我执行 AcquireToken 时，启动了通常的 html Web 浏览器身份验证提示，但由于某种原因它重定向到以下端点 /adfs/oauth2/authorize/wia? 显示 windows 集成登录框.

问题:

这是 ADFS 在这里提供的某种 ntml/sso 东西吗？

是否可以摆脱最初的 html 网络浏览器，而是直接显示 windows 登录框，它看起来有点像带有 2 个身份验证提示(1 个禁用，1 个启用)的 split 人格。

Answer 1

您执行 AcquireToken 流的客户端计算机是否已加入域？很可能不是。看起来它正在尝试 Windows 集成身份验证 (Kerberos) 并回退到 NTLM(您看到的 Windows 凭据收集对话框)。

您可以使用 ADFS 全局身份验证策略(即 Set/Get-AdfsGlobalAuthenticationPolicy PowerShell cmdlet)或通过 MMC 管理单元中的身份验证策略节点配置 ADFS 提供的身份验证方法。确保在全局身份验证策略中为内联网和外联网位置启用“表单例份验证”，以便使用基于 Web 的凭据收集体验。如果愿意，您还可以选择在全局身份验证策略中关闭 Windows 集成身份验证。

如果为 Intranet 位置同时启用表单例份验证和 WIA，如果客户端的用户代理/浏览器支持 WIA，则 ADFS 将首选使用 WIA。您可以通过 Get-AdfsProperties cmdlet(查找 WIACapableUserAgents 设置)查看支持 WIA 的用户代理列表。通常像 IE 这样的浏览器都支持 WIA。对于不在此列表中的用户代理，ADFS 将自动回退到使用表单例份验证。