ADFS 2.0 配置简介 PartⅢ – 声明规则语言

上一篇我们最终把 ADFS 与应用之间的信任关系建立起来了，但是应用接收到的声明信息只有默认的两个，这次我们就来学学怎么配置声明。

一.声明存储配置

1. ADFS 目前默认支持三种方式的声明值存储，另外还有自定义存储，不过我没去研究
1. 
2. 

二.编辑预定义声明

1. 
2. 
3. 
4. 
5. 
6. 

三.编写自己的定制声明

如果你需要编写自定义的声明规则，那么你需要掌握一种描述声明的语法，很简单的，首先让我们看看上边配置的电子邮件声明生成的语句

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> 

issue(store = "Active Directory", type = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"),

query = ";mail;{0}", param = c.Value);

可以看到符号 “=>”将声明语句分隔成两部分，第一句的 “c:[Type == ….]”是条件，第二句的 “issue(store=…)”是发布，意思是说只有当条件为真才会发布该声明，如果条件不填写，默认为真，直接发布声明，比如我们可以发布一个公司名称的声明如下

=> issue(type = ("http://test.com/company"),value = "CHK");

语句可以使用多个条件,，中间使用 && 连接，比如以下声明要求手机号为 “123”和电子邮件为“a@a.com”才发布角色声明

c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/phonenumber", Issuer == "AD AUTHORITY", Value == ""]
&&
c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/emailaddress", Issuer == "AD AUTHORITY", Value == "a@a.com"]
 => issue(type = ("http://test.com/role"), value = "Unknow");

还可以变更声明的存储位置，使用特殊的查询语句，比如使用 SQL 存储声明的话，可以写出如下语句

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/accountname", Issuer == "AD AUTHORITY"]
=>
issue(store = "{SQL存储的名称，在自定义声明存储配置}", type = "http://test.com/phonenumber",

query = "Select phonenumber from UserDetail where userName = {0}", param = c.Value)

多个参数使用逗号隔开， “c.Value”其实取的就是条件语句中 “c”这个声明对象也即用户的账户名

另外这种声明语言还支持简单的几个函数，比如值以某个字符串开头，以某个字符串结尾等，这里就不详细赘述了。

我们另外看看一个比较有趣的关键字 add.

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/accountname", Issuer == "AD AUTHORITY", Value == "Administrator"]
=>
add(type = "http://test.com/role", value= "管理员")

c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/accountname", Issuer == "AD AUTHORITY", Value == "Administrator"]
&&
c2:[Type == "http://test.com/role"]
=>
issue(Claim = c2)

第一段声明使得用户名为 Administrator 的用户可以获得管理员角色的声明，类似的用法还可以用在标识用户的地区，比如北京就增加一个首都之类的声明，也是挺方便的。

最后再说两个比较常用的关键字 EXISTS 和 Not EXISTS，其实用法跟 SQL 语句一样啦

EXISTS([type == "http://test.com/emailaddress"])
=> issue(type = http://test.com/role, value = "Email User");

NOT EXISTS([type == "http://test.com/location"])
=> add(type = "http://test.com/location", value = "Unknown");

还有一些我没讲到的语法细节，有兴趣的可以去这篇博客看看，注意是英文的，当然我都能看懂您就别担心了。

ADFS 的基本配置大概就到这了，下次有机会讲讲多个公司间 ADFS 服务的配置，还有 ADFS 的代理以便员工外网访问，最好能把 ACS（社交服务账户如 Facebooke、GoogleAccount 之类与 ADFS 的集成） 也讲一下。

如果您等不及我的博客，这里推荐一本 PDF 指导书籍，写得相当好，我大部分 ADFS 知识都是从上边看来的。