SharePoint Server でユーザーが認証された後に発行されたクレームを確認する方法

2016-02-17

こんにちは SharePoint サポートの森　健吾 (kenmori) です。
今回の投稿では、SharePoint Server でクレームベース認証による認証後に発行されたクレームの値をすべて出力し、確認するためのサンプルをご紹介します。

用途

主に以下のような用途でご使用いただけますと幸いです。

・クレームベース認証の理解
・クレームを使用した認証関連のカスタマイズを実施する事前準備
・フェデレーション認証 (例. ADFS 認証) でセキュリティグループに何を入力すれば良いかの確認

特に、ADFS 認証でセキュリティグループ名として入力する値に関するご質問が多い状況です。ADFS の [要求規則の編集] から、設定値を確認する必要があります。

"Token-Groups (SID)" (例. S-1-5...)
"Token-Groups - ドメイン名を含む" (例. DOMAIN\group_name)
"Token-Groups - 完全修飾ドメイン名を含む" (例. DOMAIN.local\group_name)
"Token-Groups - 名前の指定なし" (例. group_name)

質問に至る背景として、フェデレーション認証 (例. ADFS 認証) は外部の信頼された ID プロバイダーに認証処理を委任しています。そのため、SharePoint のフェデレーション認証用のクレームプロバイダーは、メンバーおよびロール情報を保持しておりませんし、それらの情報の入手先も把握していません。
その結果、PeoplePicker による人やグループの検索が実施できず、入力された値をそのまま解決することしかできません。

実際に有効な、ADFS 認証でセキュリティグループ名を確認するには、本サンプルで認証されたユーザーのクレームタイプとして出力される https://schemas.microsoft.com/ws/2008/06/identity/claims/role の値を確認し、その値をグループ名として PeoplePicker で指定すれば問題ありません。

手順

1. 以下の内容をテキストエディタに貼り付け、UTF-8 形式で getclaims.aspx などとして保存します。

<%@ Page Language="C#" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"https://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="https://www.w3.org/1999/xhtml" >
<head runat="server">
<title>View claim for the current user.</title>
</head>
<body>
<form id="form1" runat="server">
<div>
<%
Microsoft.IdentityModel.Claims.IClaimsIdentity ci = System.Threading.Thread.CurrentPrincipal.Identity as Microsoft.IdentityModel.Claims.IClaimsIdentity;
Response.Write("<table><tr><th align=left>ClaimType</th><th align=left>ClaimValue</th></tr>");

foreach (Microsoft.IdentityModel.Claims.Claim c in ci.Claims)
{
Response.Write(string.Format("<tr><td>{0}</td><td>{1}</td></tr>", c.ClaimType, c.Value));
}
Response.Write("</table>");
%>
</div>
</form>
</body>
</html>

2. 下記のフォルダに配置します。

C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\<ver>\TEMPLATE\LAYOUTS

- 補足
<ver> については 2010 は 14, 2013 は 15 を指定します。

3. ブラウザーで認証を完了させた後、該当ページにアクセスします。

https://sharepoint/_layouts/getclaims.aspx

4. 下記のような画面でクレームタイプごとの値一覧を確認できます。

例えば、サイトの権限にセキュリティグループとして "Domain Admins" などを指定して、権限を割り当てたとします。
この場合、ユーザーが対象のサイトにアクセスした際、クレーム属性のhttps://schemas.microsoft.com/ws/2008/06/identity/claims/roleの値に "Domain Admins" を保持していることを判断して権限があると認識されます。

今回の投稿は以上になります。

Share via

SharePoint Server でユーザーが認証された後に発行されたクレームを確認する方法

Additional resources