はじめに
この資料は、修正プログラム、および Active Directory フェデレーション サービス (AD FS) の更新プログラムのロールアップ 3 に含まれる更新プログラムについて説明 2.0 Web (RTW) をリリースします。この更新プログラムのロールアップは、AD FS 2.0 でサポートされているすべての言語を使用できます。AD FS 2.0 RTW の詳細については、次のマイクロソフト web サイトを参照してください。
重要 Windows Server 2008 ベースのコンピューターにこの更新プログラムのロールアップをインストールする前に、Windows PowerShell 2.0 をインストールする必要があります。Windows PowerShell 2.0 がインストールされていない場合は、AD FS 2.0 の特定の証明書の操作を行うことはできません。 Windows PowerShell 2.0 をインストールするには、次のマイクロソフト web サイトに移動します。
Windows Server 2008 の x64 エディションの Windows PowerShell 2.0、WinRM 2.0 を今すぐダウンロードします。
ソフトウェア更新プログラムの用語の詳細については、次の文書番号をクリックして、マイクロソフト サポート技術情報の資料を参照してください。
824684 マイクロソフトのソフトウェアの更新で使用される一般的な用語の説明
詳細情報
更新プログラムのロールアップ 3 は、すべての修正プログラムおよび更新プログラム ロールアップ 1 と更新プログラムのロールアップ 2 に含まれていた新機能が含まれている累積的な更新プログラム パッケージです。さらに、この更新プログラムは、次の問題を修正します。AD FS 2.0 用の更新プログラム ロールアップ 1 に関する詳細については、マイクロソフト サポート技術情報の記事を表示するのには次の資料番号をクリックして:
Active Directory フェデレーション サービス (AD FS) の更新プログラム ロールアップ 1 の説明を2607496 2.0AD FS 2.0 の更新プログラムのロールアップ 2 に関する詳細については、マイクロソフト サポート技術情報の記事を表示するのには次の資料番号をクリックします。
Active Directory フェデレーション サービス (AD FS) の更新プログラムのロールアップ 2 の説明を2681584 2.0
問題 1
AD FS 2.0 では、セキュリティ アサーション マークアップ言語 (SAML) 2.0 のブートス トラップ トークンを使用している証明書利用者の ActAs トークンを発行しません。この問題が発生すると、次のエラーが生成されます。
System.IdentityModel.Tokens.SecurityTokenException: ID4154: InResponseTo の値を指定する SubjectConfirmationData が含まれているため、Saml2SecurityToken は、Saml2Assertion から作成できません。この値の設定は、既定ではサポートされていません。SubjectConfirmationData の処理をカスタマイズするには、Saml2SecurityTokenHandler を拡張し、ValidateConfirmationData をオーバーライドします。
AD FS 2.0 更新プログラム ロールアップ 3 を適用すると、AD FS 2.0 が正常にこのような状況の中のトークンを発行します。
問題 2
AD FS 2.0 更新プログラムのロールアップ 2 には、統一リソース識別子 (URI) の厳密なチェックが導入されています。AD FS 2.0 フェデレーション プロバイダーとして機能し、識別子を持つが、URI ではない id プロバイダーを信頼すると、id プロバイダーから返される応答は、AD FS 2.0 によって拒否されます。AD FS 2.0 id プロバイダーの識別子の値を検証しようとするため、検証が失敗します。この動作が中断した AD FS 2.0 が機能しているどの id プロバイダーを使用して、URI ではない識別子を展開します。AD FS 2.0 更新プログラムのロールアップ 3 では、この URI のチェックを削除します。
問題 3
一部の利用者は、署名の証明書の重要なセキュリティの検証機能を提供し、SAML 2.0 仕様で定義されていると、SAML の要求について、証明書利用者に署名証明書が適用されている必要があります。AD FS 2.0 では、依存元のパーティ信頼に適用される固有の署名証明書を許可するが、AD あたり 1 つの依存元パーティ信頼に適用される同じ証明書のみが許可 FS 2.0 ファームです。この制限は、複数の利用者が SAML の要求に対して同じ署名証明書を使用することを防ぎます。AD FS 2.0 更新プログラムのロールアップ 3 は、この制限を削除し、SAML の要求に同じ署名証明書を使用する複数の利用者では、します。
