ADFS サービスプリンシパル名 (SPN) を作成する

ADFS で統合 Windows 認証 (IWA) を有効にするには、ADFS をログインアカウントに関連付けるサービスプリンシパル名 (SPN) を作成します。SPN により、クライアントはログインアカウント名がなくても認証を要求できます。

このタスクについて

IWA が既に有効であるために ADFS の SPN が既にある場合は、この手順をスキップします。

この手順は、単一の ADFS サーバーを使用することを前提としています。統合サーバーファームの ADFS サーバーを複数使用する場合は、「フェデレーション サーバー ファームのサービス アカウントを手動で構成する」という Microsoft 文書を参照してください。

手順

  1. Active Directory ドメインコントローラで、Windows 管理者として Windows ドメインにログインします。
  2. 以下のコマンドを実行して、SPN を完全修飾名と短縮名の 2 つで作成します。 
    setspn -s HTTP/<dns_name> <account_name>
setspn -s HTTP/<adfs_server_name> <account_name>
    ここで、

    <dns_name> は ADFS サーバーの完全修飾ドメイン名であり、<adfs_server_name> は ADFS マシンのホスト名であり、<account_name> はローカルサービスアカウントです。

    注: SPN の HTTP/ 部分は、サービスへのアクセスに HTTPS を使用する場合でも適切な値です。
  3. 以下のコマンドを実行して、SPN が正しく作成されていることを確認します。 
    setspn -L <server>$

例

例えば、ドメイン名が us.renovations.com で、ADFS マシンホスト名が adfs01 で、アカウント名が admin である場合は、以下のコマンドで必要な SPN を作成できます。 

setspn -s HTTP/adfs01.us.renovations.com admin
setspn -s HTTP/adfs01 admin
LDAP ブラウザを使用して Active Directory を表示した場合は、コンピュータ ADFS01 が表示されます。コンピュータアカウント名は ADFS01$ であり、アカウント文書には新しいサービスプリンシパル名が表示されます。