我的计划是什么?

可以使用JWT (JSON web令牌)单点登录对用户进行身份验证。本文描述了如何为Microsoft Active Directory用户配置JWT SSO身份验证，并介绍了以下步骤:

1.配置Windows服务器

2.配置Zendesk亚博

3.下载并配置身份验证脚本

4.故障排除

1.配置Windows服务器

您需要在Windows服务器上安装IIS和ASP。您的IIS服务器必须是您的域的一部分，并且可以直接访问您的域控制器。IIS服务器可以位于域控制器上，但这不是必需的。如果使用Windows Server 2008，下面是应该安装的角色:

要安装IIS角色服务，需要安装以下组件:

• 应用程序开发
• ASP。网
• ASP
• 服务器端包括

在安全下

• 基本身份验证

正确安装角色和服务之后，必须配置IIS服务器的身份验证。亚博Zendesk与基本身份验证配合得很好，所以我通常将其作为默认值。确保您禁用匿名身份验证，否则用户将不会得到提示他们的Windows用户名和密码，从而无法登录。

2.配置Zendesk亚博

有关说明，请参阅在Zendesk中启用JWT单点登录亚博在文章中，使用JWT (JSON Web令牌)设置单点登录。为远程登录URL值，指定将放置下一节中描述的ASP身份验证脚本的位置。

3.下载并配置身份验证脚本

从Github上的这个页面下载ASP认证脚本:

https://github.com/亚博zendesk/zendesk_jwt_sso_examples/tree/master/bun..。

将脚本(及其依赖项包含在上述包中)放入wwwroot目录中。您可以创建一个子目录，但请记住，这只会扩展脚本的URL。在新安装期间，IIS将在以下目录中创建此目录:

c: \ inetpub \ wwwroot \

对于您的web浏览器，该文件夹中的文件将显示在此URL中:

http://serveraddress/classic_asp_jwt_with_ad.asp

在记事本或任何其他文本编辑器中打开脚本。需要配置的脚本的第一部分如下所示:

' LDAP访问域用户的凭据sLdapReaderUsername = "domain\username" sLdapReaderPassword = "password"

输入具有LDAP访问权限的用户名和密码。

接下来，您需要输入在JWT Zendesk配置期间获得的共享密钥令牌(在脚本中标记为sKey)以及输入您的Zendesk子域:亚博

设置您的共享密钥和Zendesk子域亚博
sKey = ""
sSubdomain = ""

以下是脚本中对用户帐户进行LDAP查找的部分:

查询=" ;(sAMAccountName=" & sUsername & ");adspath，" & sFields & ";subtree"
设置usererrs = oConn.Execute(查询)

如果您查看代码，我们将获得用户的adspath、mail、displayName和sAMAccountName。如果您希望在调用中使用更多数据，请将其包含在该部分代码中。例如，如果我想包含下面的Notes块:

我会用属性“info”更新代码，如下所示:

(sAMAccountName=" & strUsername & ");adspath,mail,displayName,sAMAccountName,info;subtree" Set userRS = oConn.Execute(sQuery)

一旦我们查找了属性，我们就可以使用它们了。下面的代码执行属性的实际转换:

如果不是，用户错误。EOF and not err then sFullName = userRS("displayName") sEmail = userRS("mail") sExternalID = userRS("sAMAccountName") if sog then sOrganization = "" end if sTags = "" sPhotoUrl = "" "

您将看到我们已经放入了displayName、mail和sAMAccountName。如果想调用用户的各个属性，可以使用" userRS(" nameofattribute ") "对象。例如，如果您包含“info”查找，并且我想使用Notes块作为标记，那么我将更新代码，如下所示:

如果不是，用户错误。EOF和不错误则sFullName = usererrs ("displayName") sEmail = usererrs ("mail") sExternalID = usererrs ("sAMAccountName")如果sOrg则sOrganization = "" end如果sTags = usererrs ("info") sPhotoUrl = "" "

那么有哪些单独的属性可用呢?你可以在这里看到属性的选项:

http://www.kouti.com/tables/userattributes.htm

此外，如果您在Active Directory用户和计算机中启用“高级功能”，则可以直接更改单个属性。要启用高级功能，请转到视图>高级功能:

一旦启用，如果你去用户的属性，你会看到一个“属性编辑器”:

注意传递组织和标签

要为用户成功通过组织，Zendesk中必须已经存在组织。亚博如果一个组织在Zendesk中不存在(或者名称不完全匹配)，Zendesk亚博将不会像创建用户那样动态地创建该组织。首先必须创建相关的组织。

要成功地传递标签，属性必须将它们列出如下:

" tag1, tag2, tag3 "

如果在标记之间不包含“，”，则会失败。

有关我们接受的不同领域的更多信息，请查看此职位。

在脚本中完成更改后，保存它。去你的Zendesk网亚博站，点击登录。这应该会将您重定向到脚本，您将在其中输入Windows凭据并将其发送回Zendesk登录!亚博

4.故障排除

所以你点击登录失败了?作为脚本的一部分，我们包含了一个调试选项。如果你在脚本中将Debug标志改为“True”，在访问脚本时将打印Debug信息。它看起来像这样:

[DEBUG] 亚博ZENDESK\test -应该是DOMAIN\username -如果为空，你的IIS可能允许匿名访问这个文件。
[DEBUG] DomainContainer: DC=亚博zendesk,DC=internal
[DEBUG]属性名称:Test User
[DEBUG]属性邮箱:test@zendesk.com亚博
[DEBUG]属性jti: 2968942290171.981
[DEBUG]属性:1380123848
[DEBUG]重定向到https://subdomain.zendesk.com/亚博access/jwt?jwt=eyJ0eXAiOiJKV1QiLA0KICJhbGciOiJIUzI1NiJ9.eyJpYXQiOjEzODAxMjM4NDgsImp0aSI6Mjk2ODk0MjI5MDE3MS45ODEsIm5hbWUiOiJUZXN0IFVzZXIiLCJlbWFpbCI6InRlc3RAemVuZGVzay5jb20ifQ.QuRC6Ig7x_nK86Wc38u2viIVjshtTDohcgXTYpmU6VY

在这里，你应该得到你所有的信息正确列出。如果您配置了组织、标记或PhotoURL，您应该会看到这些数据。如果您看到的是部分数据，而不是全部数据，请验证用户的属性数据，并确保代码引用了正确的属性。

如果您正在访问该页面，但没有获得任何数据，这意味着该脚本未能连接到您的域控制器或没有权限。在服务器上验证您可以通过转到服务器的共享(运行提示符中的\\dcservername\)来访问域控制器。接下来验证您在代码中输入的用户名和密码是否正确。此外，如果您启用了匿名访问，您可能会得到一个空白页，因为它从未要求身份验证。确保关闭匿名访问。

如果您无法访问该页面并且浏览器抛出错误，则问题出在IIS中。确认您已经在服务器上安装了所需的角色/服务，并且它们正在运行。如果您仍然有问题，您可能必须咨询IIS管理员，因为这类错误超出了本指南的范围。

如果您遇到错误，请让我们知道您的解决方案是什么。我很乐意更新这篇文章，提供人们遇到的问题以及如何解决这些问题的额外提示。