Windows Server 2022本地ADFS部署SPN错误及访问问题咨询

一、SPN冲突的排查与修复 #

• 先找出占用目标SPN的账户：在域控制器或ADFS服务器上执行setspn -Q HTTP/win22name.domainname.local和setspn -Q HTTPS/win22name.domainname.local，命令会返回绑定该SPN的AD账户。
• 清理冲突的SPN：如果是其他服务账户误绑定，直接删除对应SPN：setspn -D HTTP/win22name.domainname.local 目标账户名，同理删除HTTPS类型的SPN。
• 绑定正确的SPN：将SPN绑定到ADFS的服务账户（默认是NT SERVICE\ADFS），执行命令：
  setspn -S HTTP/win22name.domainname.local "NT SERVICE\ADFS"
setspn -S HTTPS/win22name.domainname.local "NT SERVICE\ADFS"
• 注意：如果是服务器计算机账户绑定了SPN，先确认是否为其他服务（如IIS）占用，无用则直接删除，或更换ADFS的运行服务账户。

二、本地FQDN访问失败的修复步骤 #

• 核对SSL证书：确认证书的主体备用名称（SAN）包含win22name.domainname.local，且证书已正确导入本地计算机的「个人」证书库，ADFS服务有权限读取该证书。
• 检查ADFS主机名配置：执行Get-AdfsProperties查看HostName字段是否为win22name.domainname.local，不符则用Set-AdfsProperties -HostName win22name.domainname.local修改。
• 验证DNS解析：本地机器和服务器自身需能将win22name.domainname.local解析到服务器IP，用nslookup win22name.domainname.local测试，解析异常则在DNS服务器添加对应A记录。
• 检查防火墙：确保服务器443端口对本地网络开放，可临时关闭防火墙测试排除问题。
• 重启ADFS服务：修改配置后执行Restart-Service adfssrv使设置生效。

三、本地网络ADFS的正确部署方式 #

• 证书规范：使用内部CA（ADCS）颁发证书，通用名（CN）和SAN需设置为ADFS专用服务FQDN（如fs.domainname.local，避免使用服务器自身FQDN，减少与其他服务的冲突概率）。
• SPN提前检查：安装ADFS前先核查拟使用的HTTP/HTTPS SPN是否已被占用，避免安装时触发错误。ADFS的SPN必须绑定到其运行账户（默认系统账户或自定义域服务账户）。
• FQDN选择：本地网络优先使用内部域名下的FQDN，无需使用外部域名（如fs.myfqdn.com），除非有跨公网访问需求。若使用外部域名，需确保本地DNS能解析到服务器IP，且证书包含该域名。

四、与IdentityServer集成的要点 #

• 在ADFS中创建OIDC信赖方信任：
  1. 执行命令：Add-AdfsClient -ClientId "你的IdentityServer客户端ID" -Name "IdentityServer" -RedirectUri "https://你的IdentityServer地址/signin-oidc" -AllowedGrantTypes "authorization_code"
  2. 确保重定向URI与IdentityServer配置完全一致。
• IdentityServer配置：在Startup.cs中添加ADFS作为外部身份提供者，指定Authority为https://你的ADFS服务FQDN/adfs，ClientID与ADFS配置对应，回调地址无误。
• 测试授权流程：从Web应用触发登录，确认能正常跳转到ADFS登录页面，登录后可回调至IdentityServer完成授权。

内容的提问来源于stack exchange，提问作者Billy