SharePoint - Zugriffsberechtigung an AD Gruppe via ADFS

[jose 10]

Guten Tag,

 

ich habe einen SharePoint 2013 Foundation aufgesetzt und gewähre via ADFS Zugriff auf eine Webapplikation.
Eine Site Collection (Teamwebsite) wurde angelegt und der Site Collection Administrator mit E-Mail Adresse angegeben.
Site Collection Administrator und Nutzer, die auf die Teamwebseite zugreifen sollen, arbeiten gemeinsam in einem fremden Forrest, daher auch der föderationsbasierte Ansatz.

 

Mein Claim setzt sich aus Email-Adresse und Rolle zusammen, wobei die Email als Identifier fungiert.
Auf dem ADFS Server (steht in der Kundendomäne) werden die LDAP Attribute "E-Mail-Addresses" und "Token-Group - unqualified Names" transformiert.
Prinzipiell funktioniert es wohl, denn die Anmeldung des Site Collection Administrators mit seiner E-Mail Adresse funktioniert.

 

Jetzt möchte der Site Collection Administrator einem bestimmten Personenkreis Zugriff auf die Teamwebsite gewähren. Das möchte er gerne über eine
bestimmte Active Directory Gruppe realisieren, jedoch scheitert dies. Das Ergebnis ist immer das Selbe wenn die User zugreifen.
"Diese Site Collection wurde nicht für Sie freigegeben".

 

Ich gehe doch davon aus, dass durch "Token-Group - unqualified Names" die Gruppenmitgliedschaften eingeschlossen sind?!
Bei der Freigabe der Gruppe wird im People Picker das Element "Role" ausgewählt.

 

Nun ich bin noch nicht ganz sattelfest was ADFS angeht, habe eine Menge recherchiert, aber an dieser Stelle komme ich nicht so recht weiter.

 

Hoffentlich konnte ich mich verständlich ausdrücken, aber ich liefere auch gerne Infos nach.

 

Ich bin für jeden Typ sehr dankbar und lasse mich gerne belehren. :D

 

Vielen Dank.

 

Gruß
Jose​

[zahni 559]

Lies  Dir mal  http://go.microsoft.com/fwlink/p/?LinkId=198942durch.  Du  hast Dir  echt was vorgenommen ;)

 

Die Web Application wurde  auch für claim-based Authentifizierung konfiguriert? 

[jose 10]

Hallo zahni,

 

ja, es ist nicht ganz simpel das Ganze, aber dennoch sehr interessant. :) ​

Ich muss mir noch so einiges anlesen, daher erstmal danke für den Link auf das PDF; das Dokument kenne ich noch nicht.

 

Und ja... ich habe den Identity Provider im SharePoint konfiguriert und der Webapplikation zugewiesen. Die Anmeldung funktioniert ja auch wunderbar, sofern man die E-Mail Adresse des Nutzers in der Teamwebsite angibt. Nur ist es mir ein Rätsel, wie ich das mit AD Gruppen realisiere innerhalb der Website. Eine benutzerscharfe Berechtigung ist ja niemandem auf Dauer zu zumuten.