ADFS PowerShell 声明规则组合语法

Question

在使用简单规则取得一些成功后，在 ADFS 声明规则 PowerShell 管理单元中遇到问题：

1. 如何删除规则。编辑：=> 穷人的方式似乎只是定义一个新的空规则集。
2. 如何附加规则而不在一个命令中设置所有规则。
3. 规则内逻辑决策的语法。我的尝试：

---

Set-AdfsAdditionalAuthenticationRule -AdditionalAuthenticationRules 'c1:[type ==
"http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", value == "false"] && 
(NOT EXISTS([type == "http://schemas.microsoft.com/2012/01/requestcontext/claims/x-ms-client-ip",
Value =~ "^(?i)2003:6a:7d12:3f58:148:f23:cdc4:4181$"])) 
 => issue(type =
"http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", value =
"http://schemas.microsoft.com/claims/multipleauthn" );'

无论我做什么，都会在“不存在”处产生错误。非常感谢任何帮助。这个想法是要求除了 IP 列表（正则表达式）中的一个之外的所有外部 IP 都使用 MFA。

编辑：我尝试了以下操作

唯一我仍然无法工作的是 IP 地址检查。有没有办法可以调试以查看正在发生的事情（找到的 ip 或正则表达式的结果等）？

$RhtMfaClaimRule = 'NOT EXISTS([type == 
"http://schemas.microsoft.com/2012/01/requestcontext/claims/x-ms-client-ip", Value =~ "^(?i)81.151.139.145$"]) => add(type = "http://schemas.company.com/temp", value = "true" ); 
c1:[type == "http://schemas.company.com/temp"] && 
c2:[type == "http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", value == "false"] => issue(type = "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", value = "http://schemas.microsoft.com/claims/multipleauthn" );'

Set-AdfsAdditionalAuthenticationRule $RhtMfaClaimRule

编辑：从日志中学习 规则似乎没问题，因为过滤 IP 的“.asterix”正则表达式按预期从外部关闭了 MFA。但是，只要我将其更改为 .asterix 以外的任何内容，就会再次提示我输入 MFA。因此，怀疑客户端 IP 声明，查看日志。我看到调用 IP 在请求上下文标头中可见，到目前为止一切都很好，但是在数千个跟踪条目中，我还没有看到 client-ip 声明。我怀疑我必须告诉 Office365 在我的 ADFS 仪表板“编辑 Microsoft 身份平台的声明规则”中的某个地方转发此内容。知道我需要在此处精确添加什么才能转发此客户端 IP 声明吗？

编辑。可能解决了

下面显示的帖子有所帮助。上面使用的 ms-client-ip 声明显然仅适用于内部客户。绝望使我真正查看了声明细节，并将 x-ms-client 声明替换为请求上下文中的以下声明显然可以解决问题 - 初始测试成功。

http://schemas.microsoft.com/2012/01/requestcontext/claims/x-ms-forwarded-client-ip

Answer 1

你不能并且存在规则 AFAIK。

尝试类似：

不存在([type == "http://schemas.microsoft.com/2012/01/requestcontext/claims/x-ms-client-ip", 值 =~ "^(?i)2003:6a:7d12:3f58:148:f23:cdc4:4181$"])) => 添加（类型 = "http://schemas.company.com/temp", value = "true");

然后：

c1:[type == "http://schemas.company.com/temp"] && c2:[类型 == "http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", 值 == "假"] => 问题（类型 = "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", 值 = "http://schemas.microsoft.com/claims/multipleauthn");'