Cet article est le second d’une série de 3:

Cette étape va nous permettre d’identifier la WebApp à traiter, et de vérifier s’il faut la faire évoluer en mode Claims pour supporter l’authentification FBA.

Lancez la console d’administration de Sharepoint :

Allez dans Site Actions/Site Settings :

Puis dans Application Management à partir du menu de gauche, choisissez Manage Web Applications :

Sélectionnez la Web App qui héberge la collection de sites à laquelle vous souhaitez accéder depuis un Windows Phone 7 (la colonne URL devrait vous permettre de l’identifier facilement), puis cliquez sur “Authentication Providers” dans le bandeau:

Cliquez sur Default pour voir la configuration du mode d’authentification de votre Web App :

Si vous voyez “Windows” apparaitre en tant que provider c’est qu’il faut convertir votre WebApp pour utiliser les claims.

2. Migration à partir du provider standard vers les Claims

Attention, cette procédure est irréversible ! Je vous encourage fortement à faire un backup avant de convertir votre WebApp pour qu’elle supporte les Claims

La procédure de conversion ne peut s’effectuer qu’en Power Shell.

Lancez le management shell en mode administrateur:

Tapez le script suivant, en spécifiant l’URL de votre WebApp (ex : “http://stephe-msft:16483”) et votre identifiant d’administrateur (ex: “EUROPE\stephe”) :

$WebAppName = "http:// yourWebAppUrl"
$account = "yourDomain\yourUser"
$wa = get-SPWebApplication $WebAppName

Set-SPwebApplication $wa -AuthenticationProvider (New-SPAuthenticationProvider) -Zone Default

$wa = get-SPWebApplication $WebAppName
$account = (New-SPClaimsPrincipal -identity $account -identitytype 1).ToEncodedString()

$zp = $wa.ZonePolicies("Default")
$p = $zp.Add($account,"PSPolicy")
$fc=$wa.PolicyRoles.GetSpecialRole("FullControl")
$p.PolicyRoleBindings.Add($fc)
$wa.Update()

$wa = get-SPWebApplication $WebAppName
$wa.MigrateUsers($true)

Après ces étapes, vos sites sont accessibles par vos anciens utilisateurs du domaine.

Après plusieurs essais, sur différentes WebApp j’ai remarqué que la réactivité du site pouvait parfois être altérée dans les premiers moments, voir les premières heures (en tout cas, c’est ce qui s’est passé dans mon cas).

Si après avoir laissé “reposer” votre Sharepoint vous avez toujours des soucis de connexion, consultez technet à cette page qui vous aidera à identifier l’origine possible de problèmes liés à une migration

 

3. Configurer ma WebApp pour qu’elle supporte 2 modes d’authentification : NTLM et Forms

A ce stade, vous disposez d’une WebApp en mode Claims.

Rejouez la séquence de l’étape 1. dans la console d’administration, pour vous retrouver devant le menu “Authentication Providers” de la WebApp qui doit à présent afficher un provider de type Claims :

Cliquez sur Default pour éditer les paramètres d’authentification, et activez :

• l’authentification NTLM (qui est déjà cochée normalement)
• l’authentification Forms Based en indiquant un nom de provider que l’on spécifiera dans les fichiers de configuration tout à l’heure

Cliquez Save en base de l’écran

4. Configuration du mode d’authentification Forms

Nous allons modifier 3 fichiers de configuration pour y définir le provider “admembers”.

Pour cela, il faut passer par le Gestionnaire de Services IIS que vous pouvez lancer en tapant “iis” dans l’intitulé de commande du menu démarrer.

Les fichiers de configurations se trouvent respectivement dans les répertoires associés aux 3 éléments encadrés, qui sont accessibles en faisant un click droit sur l’élément, puis “Explorer”.

4.1. Modification du web.config de la WebApp

Dans notre exemple ma WebApp est “Sharepoint – 16483”.

Editez le fichier web.config avec notepad, un quelconque éditeur xml ou même Visual Studio.
Recherchez la section suivante dans le fichier :

    <membership defaultProvider="i">
      <providers>
        <add name="i" type="Microsoft.SharePoint.Administration.Claims.SPClaimsAuthMembershipProvider, Microsoft.SharePoint, Version=14.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" />
      </providers>
    </membership>

<add name="admembers" 
type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" 
connectionStringName="adconn" 
enableSearchMethods="true" 
attributeMapUsername="sAMAccountName" />

<membership defaultProvider="i">
  <providers>
     <add name="i" type="Microsoft.SharePoint.Administration.Claims.SPClaimsAuthMembershipProvider, Microsoft.SharePoint, Version=14.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" />
     <add name="admembers" 
    type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" 
    connectionStringName="adconn" 
    enableSearchMethods="true" 
    attributeMapUsername="sAMAccountName" />
    
  </providers>
</membership>

<connectionStrings>
  <add name="adconn" connectionString="LDAP://europe.corp.microsoft.com/DC=europe,DC=corp,DC=microsoft,DC=com" />
</connectionStrings>

...
</Sharepoint>
  <connectionStrings>
    <add name="adconn" connectionString="LDAP://europe.corp.microsoft.com/DC=europe,DC=corp,DC=microsoft,DC=com" />
  </connectionStrings>
  <system.web>
    <securityPolicy>
      <trustLevel name="WSS_Medium" policyFile="C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\14\config\wss_mediumtrust.config" />
...

4.2. Modification du web.config de la console d’administration

<connectionStrings>
  <add name="adconn" connectionString="LDAP://europe.corp.microsoft.com/DC=europe,DC=corp,DC=microsoft,DC=com" />
</connectionStrings>

<membership defaultProvider="admembers"> 
    <providers> 
        <add name="admembers" 
        type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" 
        connectionStringName="adconn" 
        enableSearchMethods="true" 
        attributeMapUsername="sAMAccountName" /> 
    </providers> 
</membership>

4.2. Modification du web.config du SecurityTokenService Application

  <connectionStrings>
    <add name="adconn" connectionString="LDAP://europe.corp.microsoft.com/DC=europe,DC=corp,DC=microsoft,DC=com"/>
  </connectionStrings>

  <system.web>
    <membership defaultProvider="admembers">
      <providers>
        <add name="admembers"
        type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"
        connectionStringName="adconn"
        enableSearchMethods="true"
        attributeMapUsername="sAMAccountName" />
      </providers>
    </membership>
  </system.web>

5. Ajouter les utilisateurs qui sont autorisés à accéder depuis une application WP7 dans la policy pour ma WebApp

Dans l’administation centrale de Sharepoint, placez-vous sur la page de configuration des WebApp (suivez l’étape 1. si vous souhaitez être guidés) :

Sélectionnez votre WebApp et dans le bandeau cliquez sur “User Policy”. Seuls les utilisateurs NTLM sont présents dans la policy, nous allons y ajouter ceux qui sont autorisés à se connecter en FBA. Cliquez sur “Add Users”.

Puis Next

Dans la section Users, cliquez sur l’annuaire pour rechercher des utilisateurs:

Dans mon cas, j’autorise tous les membres du provider LDAP admembers à avoir le contrôle total. Vous pouvez être plus restrictif en choisissant certains comptes de l’AD, mais il faut les rechercher dans la section “Forms Auth” et non pas “Active Directory” pour qu’ils soient associés à l’authentification FBA.

Cliquez Ok.

Cochez les permissions adéquates (Full Control dans mon cas) et cliquez sur Finish.

Vous pouvez à présent vous connecter à votre site Sharepoint avec 2 modes d’authentification différents, mais tous deux basés sur le même Active Directory:

• en NTLM
• en Forms

D’une part, vos utilisateurs peuvent toujours accéder au site comme auparavant, à partir d’un navigateur en utilisant les credentials de la session(authentification NTLM). Evidemment, ils peuvent également  utiliser l’authentification Forms Based dans le navigateur s’ils le souhaitent et si vous leur en avez donné les autorisations. Dans ce cas, ne préfixez pas l’identifiant par le nom de domaine lorsque vous saisissez les credentials (ex : “stephe” et non pas  “EUROPE\stephe”).

D’autre part, vos applications Windows Phone 7 accèderont à Sharepoint en passant par l’authentification Forms Based.

En fait, le plus dur est fait. Vous pouvez maintenant vous attaquer à l’application Windows Phone 7 :

Accéder à Sharepoint dans une application Silverlight pour Windows Phone 7 (3/3) : Côté client Silverlight pour WP7